CVE-2026-48105
Publiée le 2026-08-21 · Dernière modification le 2026-10-12
Les installations de la base de données Arc Enterprise antérieures à la version 26.06.1 sont vulnérables à une faille de traversée de chemin (path traversal) dans la FSM Raft. Un attaquant authentifié disposant d'un accès réseau peut spécifier des chemins de fichiers arbitraires pour manipuler ou écraser des fichiers sensibles sur le stockage backend du serveur. Cet exploit est relativement simple à exécuter car il ne nécessite aucune interaction de l'utilisateur et contourne les vérifications de validation de chemin existantes.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Arc is an open, SQL-native time-series database for telemetry. Prior to version 26.06.1, Arc Enterprise's Raft FSM (`internal/cluster/raft/fsm.go:applyRegisterFile`) accepts attacker-chosen file paths in manifest-registration proposals without validating them against the configured storage backend. The only check is that the path is non-empty. There is no parent-traversal (`..`) rejection, no allowlist of legitimate prefixes, no scheme restriction (`s3://` vs local), and no length bound. This is fixed in 2026.06.1. Some workarounds are available. Restrict cluster network access to known-trusted peers via strict firewall rules, audit the cluster manifest for unexpected paths (any path not matching the configured storage backend root is suspect), and/or disable cluster mode until the fix is available.