Vulnerabilidad en recce de DataRecce (CVE-2026-49360)

Recce es un kit de herramientas de validación de datos para una revisión mejorada de PR de dbt (herramienta de construcción de datos). Antes de la versión 1.50.0, los despliegues de servidor OSS que exponen el servidor a una red no confiable sin autenticación son vulnerables a la ejecución de SQL no autenticada a través de la API de ejecución de consultas. Cuyo Recce está configurado con un proyecto respaldado por DuckDB, un atacante puede usar primitivas del sistema de archivos de DuckDB para leer y escribir archivos accesibles al proceso del servidor de Recce. El impacto depende de cómo se despliega Recce, pero puede incluir la divulgación de archivos locales, la manipulación de artefactos de Recce/dbt, la modificación de archivos estáticos servidos por el navegador que lleva a XSS almacenado, y la modificación de archivos de aplicación si esas rutas son escribibles. Si Recce se ejecuta como root, el acceso a archivos ocurre con privilegios de root dentro de ese host o contenedor. Este problema ha sido parcheado en Recce 'v1.50.0'. Los usuarios deben actualizar a Recce 'v1.50.0' o posterior. El parche restringe el comportamiento inseguro de lectura/escritura de archivos para la ejecución de consultas respaldadas por DuckDB y refuerza la ruta de consulta afectada. Otros adaptadores de almacén también han sido revisados en busca de una exposición similar. Los usuarios que no puedan actualizar de inmediato deben evitar exponer 'recce server' a la internet pública o a cualquier red no confiable. Las mitigaciones recomendadas incluyen habilitar la autenticación o colocar Recce detrás de un proxy inverso/VPN autenticado, ejecutar Recce como un usuario no root, usar un sistema de archivos de aplicación de solo lectura cuyo sea posible, y asegurar que los archivos o credenciales sensibles no estén disponibles para el proceso de Recce.