CVE-2026-55098

Arc to otwarta baza danych szeregów czasowych natywnych dla języka SQL do celów telemetrii. Przed zweryfikowaną w repozytorium naprawą 26.06.2, naprawienie `CVE-2026-47735` pozostawia obejście autoryzacji między bazami danych poprzez funkcje we/wy z wartościami przechowywanymi w tabeli DuckDB. W `internal/database/sandbox.go`, `allowed_directories` używa `cfg.LocalStorageRoot`, skonfigurowanego przez `storage.local_path`, podczas gdy `enable_external_access=false` blokuje dostęp poza całym katalogiem głównym z wieloma dzierżawcami. `GetStoragePath` w `internal/storage/util.go` przechowuje wszystkie bazy danych znajdujące się pod nim. W `internal/api/query.go` `extractTableReferences` pomija nazwy, po których następuje nawias otwierający, a `checkQueryPermissions` pozwala na zapytania bez wyodrębnionych odniesień do tabeli, w tym tokeny z `permissions: []`. Lista odrzuconych `userSQLReadParquetPattern` przechwytuje dosłowne `read_parquet(`, a wcześniejsze zabezpieczenie blokuje również `arc_partition_agg(`, ale pomija alias `parquet_scan` i `glob`, `parquet_metadata`, `parquet_schema`, `read_blob`, `read_csv_auto`, `read_json` i `read_text`. Żądanie do `POST /api/v1/query` przy użyciu tych odblokowanych funkcji przekazuje `ValidateSQLRequest` i `convertSQLToStoragePaths` bez autoryzacji dzierżawcy, umożliwiając odczyt i wyliczenie danych szeregów czasowych innych baz danych, schematów i statystyk zakresu wartości dla poszczególnych kolumn w obrębie katalogu głównego znajdującego się na liście dozwolonych i HTTP SSRF, a baza danych tokenów SQLite poza katalogiem głównym nie jest ujawniana przez ten mechanizm. Wcześniejsze rozwiązanie zaradcze w wersji 26.06.1 nie blokuje w sposób kompleksowy tych funkcji we/wy. Znacznik repozytorium 26.06.2 zawiera naprawę funkcji we/wy i zapewnia tymczasowe ograniczenie doradcze dotyczące wersji, których dotyczy problem, wymaga decyzji kuratora.