CVE-2026-33922
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W funkcji Offline archives lokalnego interfejsu webowego wykryto podatność na path traversal z powodu niewystarczającej walidacji parametru wejściowego. Lokalny użytkownik z uprawnieniami administracyjnymi do interfejsu webowego może przesłać nazwę archiwum zawierającą sekwencje traversal i usunąć dowolne pliki dostępne dla procesu Arc, który działa z uprawnieniami administracyjnymi na hoście.
Ocena ryzyka
Atakujący z uprawnieniami administratora interfejsu może usunąć krytyczne pliki systemowe, co prowadzi do awarii systemu lub utraty danych.
Rekomendacja
Zastosuj poprawkę, która dodaje odpowiednią walidację nazw archiwów, oraz ogranicz dostęp do interfejsu administracyjnego tylko dla zaufanych osób.
Inne podatności w Arc
Zobacz wszystkie- CVE-2026-94181Wysokie
Przeglądarka Arc w podatnych wersjach zawiera lukę umożliwiającą fałszowanie paska adresu. Atakujący może wykorzystać element <select> wywołujący requestFullscreen bez wyświetlenia powiadomienia o trybie pełnoekranowym, aby podszyć się pod pasek adresu.
- CVE-2026-48106Wysokie
Arc Enterprise przed wersją 26.06.1 w odbiorniku replikacji klastra waliduje tylko kopertę formatu wire (długość, opcode), a sam payload MsgReplicateSync jest akceptowany bez uwierzytelniania na poziomie aplikacji (brak HMAC, podpisu, nonce). Ochrona transportowa TLS/mTLS nie chroni przed manipulacją lub replayem na poziomie aplikacji. Problem naprawiono w wersji 2026.06.1.
- CVE-2026-48105Wysokie
Arc Enterprise przed wersją 26.06.1 w Raft FSM akceptuje ścieżki plików wybrane przez atakującego w propozycjach rejestracji manifestu bez walidacji względem skonfigurowanego backendu. Jedynym sprawdzeniem jest niepustość ścieżki; brak odrzucania przejść nadrzędnych (..), listy dozwolonych prefiksów, ograniczeń schematu (s3:// vs lokalny) ani limitu długości. Problem naprawiono w wersji 2026.06.1.
- CVE-2026-48050Wysokie
Arc przed wersją 26.06.1 rejestruje handlery net/http/pprof pod /debug/pprof/* i dodaje /debug/pprof do PublicPrefixes, co powoduje, że endpointy są dostępne bez uwierzytelnienia. Wersja 26.06.1 zawiera poprawkę. Dostępne są obejścia, takie jak blokowanie /debug/pprof* na reverse proxy lub ograniczenie portu API do zaufanych sieci.
- CVE-2026-47735Wysokie
Arc przed wersją 26.06.1 w walidatorze SQL blokował tylko read_parquet( i arc_partition_agg( przez regex, pozostawiając inne funkcje DuckDB (read_csv, read_json, glob itp.) niezablokowane. RBAC sprawdzał tylko klauzule FROM/JOIN, więc funkcje skalarne w SELECT omijały zabezpieczenia. Poprawka w 26.06.1 wprowadza sandbox na poziomie DuckDB, który blokuje dostęp do plików spoza listy dozwolonych.
Oryginalny opis (angielski, źródło NVD)
A path traversal vulnerability was discovered in the Offline archives functionality of the local web interface due to insufficient validation of an input parameter. A local user with administrative credentials for the web interface could submit an archive name containing traversal sequences and delete arbitrary files reachable by the Arc process, which runs with administrative privileges on the host.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS