Traversée de chemin dans github.com/basekick-labs/arc (CVE-2026-47735)
Résumé
Traversée de chemin dans github.com/basekick-labs/arc (CVE-2026-47735). Risque d'opérations non autorisées ou de divulgation. Exploitable via POST /api/v1/query. Atténuation : mise à jour vers 2026.06.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
Arc's user-SQL validator (internal/api/query.go:ValidateSQLRequest) blocked only read_parquet( and arc_partition_agg( via regex denylist. The broader DuckDB I/O function family — read_csv_auto, read_csv, read_json, read_json_auto, read_text, read_blob, glob, parquet_metadata, parquet_schema, read_xlsx, etc. — was not blocked. RBAC table-reference extraction inspected only FROM/JOIN clauses, so scalar table functions in the SELECT list slipped past both layers.
Impact
Any authenticated user, including a token with permissions: [], can read arbitrary local files via:
POST /api/v1/query
Authorization: Bearer
{"sql": "SELECT * FROM read_csv_auto('/etc/passwd', header=false, columns={'l':'VARCHAR'}) LIMIT 5"}
Confirmed reachable targets:
auth.db— bcrypt hashes for every API token, plus legacy SHA-256 rows.arc.toml— S3 secrets, TLS keys./proc/self/environ— environment-variable secrets.- Cross-tenant Parquet files — bypasses RBAC because the tenant scope is enforced at the table layer, not on raw file paths.
- SSRF when
httpfsis loaded (any S3-backed deployment) —read_csv_auto('http://169.254.169.254/latest/meta-data/...')reaches instance metadata IPs.
Patches
Fixed in 2026.06.1 (PR #442) via a structural sandbox at the DuckDB layer:
SET GLOBAL allowed_directories = [...]enumerates Arc's legitimate filesystem prefixes (storage roots + tier prefixes + import upload dir + compaction…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-47735 a été découverte dans github.com/basekick-labs/arc.
Des attaquants peuvent cibler un point d'entrée spécifique comme POST /api/v1/query à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour github.com/basekick-labs/arc vers 2026.06.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « github.com/basekick-labs/arc CVE-2026-47735 » sur le site de l'éditeur.
CVE-2026-47735 (github.com/basekick-labs/arc) — CWE-22
Surface d'attaque : POST /api/v1/query / read_csv_auto / read_csv / read_json
Correctif : 2026.06.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une traversée de chemin (CWE-22) affecte github.com/basekick-labs/arc. Les attaquants atteignent le code vulnérable via POST /api/v1/query.
Consultez l'avis de l'éditeur pour les versions affectées de github.com/basekick-labs/arc. Surface d'attaque : POST /api/v1/query / read_csv_auto / read_csv / read_json.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 2026.06.1.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs webserver/proxy/WAF des requêtes anormales vers POST /api/v1/query (en-têtes d'auth malformés, méta-caractères SQL). Auditez les fichiers de dépendances pour trouver github.com/basekick-labs/arc.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'github.com/basekick-labs/arc' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
github.com/basekick-labs/arcを grep し、稼働しているサービス・バージョンを把握する。 -
2Hunt for indicators of compromise detect
grep 'POST /api/v1/query' /var/log/nginx/access.log | grep -E '(unusual_payload|sqli_pattern)'アクセスログで
POST /api/v1/queryへの異常なリクエスト (不正な認証ヘッダ・SQLメタ文字)を過去 30〜90日分捜索。WAF/SIEM があれば該当パスのアラート発火履歴を確認。 -
3Apply patch patch
Upgrade github.com/basekick-labs/arc to 2026.06.1ステージング環境で 2026.06.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスと、Step 2 で見つけた異常検知の続報チェックを含めること。
-
4Post-deployment verification verify
Replay attack against POST /api/v1/query on staging to confirm patch closes the vectorパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 2 と同じログクエリでアラート再発が無いか継続監視。