CVE-2026-48105 in Arc
Sumário
de VulDB • 22/08/2026
Arc é um banco de dados nativo para séries temporais baseado em SQL e de código aberto voltado à telemetria. Antes da versão 26.06.1, o FSM Raft do Arc Enterprise (`internal/cluster/raft/fsm.go:applyRegisterFile`) aceita caminhos de arquivos escolhidos pelo atacante nas propostas de registro de manifesto sem validá-los em relação ao backend de armazenamento configurado. A única verificação é se o caminho não está vazio. Não há rejeição de travessia do diretório pai (`..`), nem lista permissiva (allowlist) de prefixos legítimos, restrição de esquema (`s3://` vs local) ou limite de comprimento. Isso foi corrigido na versão 26.06.1. Algumas medidas alternativas estão disponíveis. Restrinja o acesso à rede do cluster a pares conhecidos e confiados por meio de regras rígidas de firewall, audite o manifesto do cluster em busca de caminhos inesperados (qualquer caminho que não corresponda ao raiz do backend de armazenamento configurado é suspeito) e/ou desative o modo de cluster até que a correção esteja disponível.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.