CVE-2026-48050
Açıklama
Arc, telemetri için açık, SQL-native bir zaman serisi veritabanıdır. 26.06.1 öncesi sürümler, `internal/api/server.go` içinde `app.Use(pprof.New())` aracılığıyla Go'nun `net/http/pprof` işleyicilerini `/debug/pprof/*` altında kaydeder ve `cmd/arc/main.go` içinde `PublicPrefixes` listesine `/debug/pprof` eklenir. Kimlik doğrulama ara yazılımı, önek eşleşmesinde token kontrolünden önce kısa devre yapar, bu nedenle uç noktalara herhangi bir kimlik doğrulama olmadan erişilebilir. 26.06.1 sürümü bir yama içerir. Bazı geçici çözümler mevcuttur. Arc'ın önündeki bir ters proxy / yük dengeleyicide `/debug/pprof*` yolunu engelleyin, güvenlik duvarı kuralları aracılığıyla Arc'ın API portunu bilinen güvenilir ağlarla sınırlayın ve/veya çalışan derlemeyi yamalayın: `internal/api/server.go` içinde `app.Use(pprof.New())` satırını yorum satırı haline getirin ve yeniden derleyin.
Nasıl düzeltilir
- github.com/basekick-labs/arc0.0.0-20260520170331-32a4091fb949 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/basekick-labs/arcGo | v < 0.0.0-20260520170331-32a4091fb949 | 0.0.0-20260520170331-32a4091fb949 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.