CVE-2026-49360 in Recce
Сводка
по VulDB • 22.08.2026
Recce — это набор инструментов для проверки данных, предназначенный для улучшения процесса обзора pull-запросов (PR) в dbt (data build tool). До версии 1.50.0 развертывания серверной части с открытым исходным кодом (OSS), которые предоставляют доступ к серверу из ненадежной сети без аутентификации, уязвимы к выполнению SQL-запросов в неавторизованном режиме через API выполнения запросов. При конфигурации Recce с проектом на базе DuckDB злоумышленник может использовать примитивы файловой системы DuckDB для чтения и записи файлов, доступных процессу сервера Recce. Последствия зависят от способа развертывания Recce, но могут включать раскрытие локальных файлов, изменение артефактов Recce/dbt, модификацию статических файлов, обслуживаемых браузером (что может привести к сохраненному XSS — Stored Cross-Site Scripting), а также изменение файлов приложения, если эти пути доступны для записи. Если Recce запускается от имени пользователя root, доступ к файлам осуществляется с привилегиями root на данном хосте или в контейнере. Эта проблема исправлена в версии Recce `v1.50.0`. Пользователям следует обновиться до версии Recce `v1.50.0` или более поздней. Патет ограничивает небезопасное поведение чтения/записи файлов при выполнении запросов на базе DuckDB и усиливает безопасность затронутого пути выполнения запроса. Адаптеры других хранилищ данных также были проверены на наличие аналогичных уязвимостей. Пользователям, которые не могут немедленно обновиться, следует избегать предоставления доступа к `recce server` из публичного интернета или любой ненадежной сети. Рекомендуемые меры по смягчению последствий включают включение аутентификации или размещение Recce за прокси-сервером с аутентификацией/VPN, запуск Recce от имени непривилегированного пользователя (не root), использование файловой системы приложения в режиме только для чтения там, где это возможно, и обеспечение того, чтобы конфиденциальные файлы или учетные данные не были доступны процессу Recce.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.