CVE-2026-47735

Arc telemetriya üçün açıq, SQL-native zaman seriyalı verilənlər bazasıdır. Versiya 26.06.1-dən əvvəl Arc-ın istifadəçi-SQL validatoru (`internal/api/query.go:ValidateSQLRequest`) regex qara siyahısı vasitəsilə yalnız `read_parquet(` və `arc_partition_agg(` funksiyalarını bloklayırdı. Daha geniş DuckDB I/O funksiya ailəsi — `read_csv_auto`, `read_csv`, `read_json`, `read_json_auto`, `read_text`, `read_blob`, `glob`, `parquet_metadata`, `parquet_schema`, `read_xlsx` və s. — bloklanmamışdı. RBAC cədvəl-istinad ekstraksiyası yalnız `FROM`/`JOIN` bəndlərini yoxladığı üçün `SELECT` siyahısındakı skalyar cədvəl funksiyaları hər iki təhlükəsizlik təbəqəsindən keçə bilirdi. Bu problem 2026.06.1 versiyasında DuckDB səviyyəsində struktur qumcu (sandbox) tətbiqi ilə düzəldilmişdir. Məhdudiyyətlərdən sonra DuckDB ağ siyahıdan kənar hər hansı faylı açmaqdan, həmçinin növbəti `INSTALL`/`LOAD` əməliyyatlarından imtina edir. Artıq yüklənmiş genişlənmələr çağırıla bilir. Bəzi alternativ həll yolları mövcuddur. Firewall qaydaları vasitəsilə API girişini yalnız etibarlı şəbəkələrlə məhdudlaşdırın və ya müvəqqəti tədbir olaraq `internal/api/query.go` faylındakı `dangerousSQLPattern` hissəsinə `read_csv*`/`read_json*`/`glob` və s. əlavə edin.