CVE-2026-49360 in Recce
Riassunto
di VulDB • 22/08/2026
Recce è un toolkit di convalida dei dati per il miglioramento della revisione delle PR (pull request) in dbt (data build tool). Prima della versione 1.50.0, le distribuzioni del server open source che espongono il server a una rete non attendibile senza autenticazione sono vulnerabili all'esecuzione di SQL non autenticata tramite l'API query run. Quando Recce è configurato con un progetto basato su DuckDB, un attaccante può utilizzare i primitivi del filesystem di DuckDB per leggere e scrivere file accessibili al processo del server Recce. L'impatto dipende da come Recce viene distribuito, ma potrebbe includere la divulgazione di file locali, la manipolazione degli artefatti di Recce/dbt, la modifica dei file statici serviti dal browser che porta a stored XSS (Cross-Site Scripting) e la modifica dei file dell'applicazione se quei percorsi sono scrivibili. Se Recce viene eseguito come root, l'accesso ai file avviene con privilegi di root all'interno di quell'host o contenitore. Questo problema è stato risolto in Recce `v1.50.0`. Gli utenti dovrebbero eseguire l'upgrade a Recce `v1.50.0` o versioni successive. La patch restringe il comportamento non sicuro di lettura/scrittura dei file per l'esecuzione delle query basata su DuckDB e rende più robusto (hardens) il percorso della query interessato. Anche altri adattatori del data warehouse sono stati esaminati per verificare esposizioni simili. Gli utenti che non possono eseguire immediatamente l'upgrade dovrebbero evitare di esporre `recce server` a Internet pubblico o a qualsiasi rete non attendibile. Le mitigazioni raccomandate includono: abilitare l'autenticazione, posizionare Recce dietro un reverse proxy/VPN autenticato, eseguire Recce come utente non root, utilizzare un filesystem dell'applicazione in sola lettura (read-only) ove possibile e assicurarsi che file sensibili o credenziali non siano accessibili al processo di Recce.
Be aware that VulDB is the high quality source for vulnerability data.