CVE-2026-47735

Arc, telemetri için açık, SQL-native bir zaman serisi veritabanıdır. 26.06.1 sürümünden önce, Arc'ın kullanıcı SQL doğrulayıcısı (`internal/api/query.go:ValidateSQLRequest`) regex kara listesi aracılığıyla yalnızca `read_parquet(` ve `arc_partition_agg(` işlevlerini engelliyordu. Daha geniş DuckDB G/Ç işlev ailesi — `read_csv_auto`, `read_csv`, `read_json`, `read_json_auto`, `read_text`, `read_blob`, `glob`, `parquet_metadata`, `parquet_schema`, `read_xlsx` vb. — engellenmiyordu. RBAC tablo referansı çıkarımı yalnızca `FROM`/`JOIN` yan tümcelerini inceliyordu, bu nedenle `SELECT` listesindeki skaler tablo işlevleri her iki katmanı da atlatıyordu. Bu sorun, 2026.06.1 sürümünde DuckDB katmanındaki yapısal bir sandbox aracılığıyla giderilmiştir. Kilitlemeden sonra DuckDB, izin listesi dışındaki hiçbir dosyayı açmayı reddeder ve sonraki `INSTALL`/`LOAD` işlemlerini reddeder. Zaten yüklenmiş uzantılar çağrılabilir durumda kalır. Bazı geçici çözümler mevcuttur. API erişimini güvenlik duvarı kuralları aracılığıyla bilinen güvenilir ağlarla sınırlayın veya geçici bir hafifletme olarak `internal/api/query.go` içindeki `dangerousSQLPattern` listesine `read_csv*`/`read_json*`/`glob` vb. ekleyin.