Veille sécuritéBackend & données
P4Faible
GHSA-m3qr-fvp4-78xj, publié le 2026-11-03T16:29:38Z, signale que l’API Arc `GET /api/v1/logs` peut divulguer des journaux sans authentification, même lorsque celle-ci est activée. Les versions antérieures au pseudo-version de correctif sont concernées; restreindre l’accès à cette route ou mettre à niveau Arc.
Go
IdentifiantAvis de sécurité
GravitéFaible
Exploitationnon connue / non déterminée
Correctif0.0.0-20260615165136-bb7d9761ad98
Source : GitHub Advisory GHSA-m3qr-fvp4-78xj
Analyse technique
La route est enregistrée avant le middleware global d’authentification; les journaux en mémoire peuvent ainsi être renvoyés sans contrôle d’accès.
Impact, versions et correctif
Événement datéNouvel avis publié le 2026-11-03T16:29:38Z, dans la période demandée (2026-11-03T00:00:00+02:00 inclus à 2026-11-04T00:00:00+02:00 exclu).
ImpactUn attaquant réseau non authentifié peut accéder aux journaux récents; selon leur contenu, ceux-ci peuvent révéler des informations opérationnelles ou sensibles.
Versions affectées< 0.0.0-20260615165136-bb7d9761ad98
Version corrigée0.0.0-20260615165136-bb7d9761ad98
ContournementRestreindre ou bloquer l’accès à `/api/v1/logs` au moyen du proxy, du pare-feu, de l’ingress ou d’une politique de service.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-11-03T16:29:38Z
Mise à jour2026-11-03T16:29:38Z
Action recommandée
Mettre à niveau Arc vers le pseudo-version corrigé indiqué par l’avis; d’ici là, restreindre l’accès à `/api/v1/logs`.
Sources
Priorisation DFS : P4 · 1 source(s).