CVE-2026-55098 in Arc
الملخص
بحسب VulDB • 30/10/2026
Arc هو قاعدة بيانات للسلاسل الزمنية (time-series) مفتوحة المصدر ومخصصة لـ SQL، مصممة لتقنيات التيليمتري. قبل الإصلاح الذي تم التحقق منه عبر المستودع في الإصدار 26.06.2، يترك تصحيح `CVE-2026-47735` ثغرة تسمح بتجاوز تفويض الوصول بين قواعد البيانات (cross-database authorization bypass) من خلال دوال الإدخال/الإخراج القائمة على قيم الجداول (table-valued I/O functions) في DuckDB.
في الملف `internal/database/sandbox.go`، يستخدم المتغير `allowed_directories` المسار `cfg.LocalStorageRoot`، والذي يتم تكوينه عبر الإعداد `storage.local_path`. بينما يمنع الخيار `enable_external_access=false` الوصول خارج هذا الجذر متعدد المستأجرين (multi-tenant root) بالكامل. تقوم الدالة `GetStoragePath` الموجودة في `internal/storage/util.go` بتخزين جميع قواعد البيانات تحته.
في الملف `internal/api/query.go`، تتخطى الدالة `extractTableReferences` الأسماء التي تليها قوس مفتوح، وتسمح دالة `checkQueryPermissions` بالاستعلامات التي لا تحتوي على مراجع جداول مستخرجة، بما في ذلك الرموز (tokens) ذات الصلاحية الفارغة (`permissions: []`).
تلتقط قائمة الممنوعات `userSQLReadParquetPattern` الدالة الحرفية `read_parquet(`، ويحظر الحماية السابقة أيضاً دالة `arc_partition_agg(`، لكنها تفوت استخدام الاختصار `parquet_scan` بالإضافة إلى الدوال التالية: `glob`، و`parquet_metadata`، و`parquet_schema`، و`read_blob`، و`read_csv_auto`، و`read_json`، و`read_text`.
يؤدي إرسال طلب عبر `POST /api/v1/query` باستخدام هذه الدوال غير المحظورة إلى تجاوز عمليات التحقق من صحة طلب SQL (`ValidateSQLRequest`) وتحويله إلى مسارات تخزين (`convertSQLToStoragePaths`) دون تفويض المستأجر (tenant authorization)، مما يسمح بقراءة واستكشاف بيانات السلاسل الزمنية، والمخطط البياني (schema)، وإحصائيات نطاق القيم لكل عمود الخاصة بقواعد البيانات الأخرى ضمن الجذر المسموح به.
ما زال الصندوق الرملي (sandbox) يحظر الوصول إلى ملفات نظام التشغيل خارج الجذر ومنع هجمات SSRF عبر HTTP، كما أن قاعدة بيانات SQLite الشقيقة الموجودة خارج الجذر غير مكشوفة بواسطة هذه الآلية. لا يوفر الإصلاح السابق في الإصدار 26.06.1 حظراً شاملاً لهذه دوال الإدخال/الإخراج. يحتوي وسم المستودع (repository tag) 26.06.2 على إصلاح دوال الإدخال/الإخرج ويحدد حدود التصحيح المؤقت؛ وتتطلب عبارات إصدارات التأثير المتأثرة في الإشعارات المتضاربة حكماً من قبل أمين الصيانة (curator).
If you want to get best quality of vulnerability data, you may have to visit VulDB.