Veille sécuritéBackend & données
P4Moyenne
Un avis publié le 4 novembre signale que des fonctions d’E/S DuckDB peuvent permettre à un utilisateur authentifié d’Arc de lire ou d’énumérer des données appartenant à d’autres bases, contournant ainsi l’isolation attendue. La fiche conseille de mettre à jour Arc vers la version corrigée indiquée dans l’avis; l’exploitation active n’est pas établie par les sources consultées.
Go
IdentifiantCVE-2026-55098
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.0.0-20260610131716-5dc8f53b70a3
Analyse technique
L’avis attribue le problème à des fonctions DuckDB d’accès aux fichiers qui échappent au contrôle d’accès SQL et à une sandbox couvrant la racine de stockage partagée. Le CVE, les versions et le correctif sont repris pour cet avis précis.
Impact, versions et correctif
Événement datéL’avis fourni indique une publication le 2026-11-04 à 17:02:37Z, soit 2026-11-04T19:02:37+02:00, dans la période demandée. La date de publication, et non une modification ultérieure, est l’événement retenu.
ImpactUn utilisateur authentifié pourrait accéder aux données d’autres bases hébergées dans la même racine de stockage.
Versions affectées< 0.0.0-20260610131716-5dc8f53b70a3
Version corrigée0.0.0-20260610131716-5dc8f53b70a3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,32% · percentile 25,0%
Publication2026-11-04T19:02:37+02:00
Mise à jour2026-11-04T19:02:38+02:00
Action recommandée
Mettre à jour Arc vers la version corrigée indiquée dans l’avis.
Sources
Priorisation DFS : P4 · 1 source(s).