CVE-2026-49360 in Recce
요약
\~에 의해 VulDB • 2026. 08. 22.
Recce는 향상된 dbt(data build tool) PR 검토를 위한 데이터 검증 툴킷입니다. 버전 1.50.0 이전의 OSS 서버 배포에서 인증 없이 신뢰할 수 없는 네트워크에 서버가 노출되어 있는 경우, 쿼리 실행 API를 통해 비인증 SQL 실행 취약점에 의해 영향을 받습니다. Recce가 DuckDB 기반 프로젝트로 구성된 경우, 공격자는 DuckDB 파일 시스템 프리미티브(DuckDB filesystem primitives)를 사용하여 Recce 서버 프로세스가 접근 가능한 파일을 읽고 쓸 수 있습니다. 영향은 Recce의 배포 방식에 따라 다르지만, 로컬 파일 유출, Recce/dbt 아티팩트 변조, 브라우저에서 제공되는 정적 파일 수정으로 인한 저장형 XSS(Stored XSS), 그리고 해당 경로가 쓰기 가능할 경우 애플리케이션 파일 수정 등이 포함될 수 있습니다. 만약 Recce를 루트(root) 사용자로 실행하는 경우, 파일 접근은 호스트 또는 컨테이너 내에서 루트 권한으로 발생합니다. 이 문제는 Recce `v1.50.0`에서 패치되었습니다. 사용자는 Recce `v1.50.0` 이상으로 업그레이드해야 합니다. 해당 패치는 DuckDB 기반 쿼리 실행에 대한 안전하지 않은 파일 읽기/쓰기 동작을 제한하고, 영향받은 쿼리 경로를 강화합니다. 다른 웨어하우스 어댑터들도 유사한 노출 가능성에 대해 검토되었습니다. 즉시 업그레이드가 불가능한 사용자는 `recce server`를 공개 인터넷이나 신뢰할 수 없는 네트워크에 노출시키지 않아야 합니다. 권장 완화 조치에는 인증 활성화 또는 Recce를 인증된 리버스 프록시/VPN 뒤에 배치, 비루트(non-root) 사용자로서 Recce 실행, 가능한 경우 읽기 전용 애플리케이션 파일 시스템 사용, 그리고 민감한 파일이나 자격 증명이 Recce 프로세스에 접근 불가능하도록 보장하는 것이 포함됩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.