CVE-2026-48050
Təsvir
Arc telemetriya üçün açıq, SQL-native zaman seriyalı verilənlər bazasıdır. 26.06.1 versiyasından əvvəlki versiyalarda `internal/api/server.go` faylında `app.Use(pprof.New())` vasitəsilə Go-nun `net/http/pprof` handler-ləri `/debug/pprof/*` ünvanında qeydiyyata alınır və `cmd/arc/main.go` faylında `/debug/pprof` `PublicPrefixes`-ə əlavə edilir. Autentifikasiya middleware-i prefiks uyğunluğu zamanı token yoxlamasından əvvəl işini dayandırdığı üçün bu son nöqtələrə heç bir autentifikasiya olmadan daxil olmaq mümkündür. 26.06.1 versiyasında düzəliş tətbiq edilib. Bəzi müvəqqəti həll yolları mövcuddur: Arc qarşısındakı reverse proxy / load balancer səviyyəsində `/debug/pprof*` sorğularını bloklayın, firewall qaydaları vasitəsilə Arc-ın API portunu yalnız etibarlı şəbəkələrlə məhdudlaşdırın və/və ya işlək build-i yeniləyin: `internal/api/server.go` faylında `app.Use(pprof.New())` sətirini şərhə alın və yenidən build edin.
Necə düzəltmək olar
- github.com/basekick-labs/arc0.0.0-20260520170331-32a4091fb949 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/basekick-labs/arcGo | v < 0.0.0-20260520170331-32a4091fb949 | 0.0.0-20260520170331-32a4091fb949 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.