CVE-2026-49360 in Recce
Tóm tắt
Bởi VulDB • 22/08/2026
Recce là một bộ công cụ xác thực dữ liệu để nâng cao hiệu quả xem xét các yêu cầu kéo (PR) cho dbt (data build tool). Trước phiên bản 1.50.0, các triển khai máy chủ mã nguồn mở (OSS) của Recce expose ra mạng không đáng tin cậy mà không có cơ chế xác thực sẽ dễ bị tấn công thực thi SQL chưa được xác thực thông qua API chạy truy vấn. Khi Recce được cấu hình với dự án sử dụng DuckDB làm nền tảng, kẻ tấn công có thể tận dụng các nguyên tắc hệ thống tệp của DuckDB để đọc và ghi vào các tập tin mà tiến trình máy chủ Recce có quyền truy cập. Mức độ ảnh hưởng phụ thuộc vào cách thức triển khai Recce, nhưng có thể bao gồm: tiết lộ thông tin từ các tập tin cục bộ, làm giả mạo các artifact của Recce/dbt, sửa đổi các tệp tĩnh được phục vụ qua trình duyệt dẫn đến lưu trữ XSS (Stored Cross-Site Scripting), và thay đổi các tệp ứng dụng nếu đường dẫn đó cho phép ghi. Nếu Recce chạy với quyền root, việc truy cập tập tin sẽ diễn ra dưới đặc quyền root trên máy chủ hoặc container tương ứng. Vấn đề này đã được vá trong phiên bản Recce `v1.50.0`. Người dùng nên nâng cấp lên Recce `v1.50.0` trở lên. Bản vá hạn chế hành vi đọc/ghi tập tin không an toàn cho việc thực thi truy vấn dựa trên DuckDB và tăng cường bảo mật cho đường dẫn truy vấn bị ảnh hưởng. Các bộ điều hợp (adapters) kho dữ liệu khác cũng đã được xem xét để phát hiện các lỗ hổng tương tự. Người dùng không thể nâng cấp ngay lập tức nên tránh expose `recce server` ra internet công cộng hoặc bất kỳ mạng nào không đáng tin cậy. Các biện pháp giảm thiểu khuyến nghị bao gồm: bật xác thực, đặt Recce phía sau proxy ngược có xác thực/VPN, chạy Recce với người dùng không phải root (non-root), sử dụng hệ thống tệp ứng dụng chỉ đọc (read-only) khi có thể, và đảm bảo rằng các tập tin nhạy cảm hoặc thông tin đăng nhập không khả dụng đối với tiến trình Recce.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.