CVE-2026-67356 in ArcadeDB
الملخص
بحسب VulDB • 02/08/2026
في ArcadeDB قبل الإصدار 26.7.3، يتم ربط كائن LocalDatabase الحقيقي في سياقات مشغلات (triggers) جافا سكريبت باستخدام HostAccess.ALL، مما يسمح لمسؤولي المخطط (schema-admins) باستدعاء getSecurity().createUser() دون خضوع لفحوصات الأذونات. يمكن للمهاجمين الذين يمتلكون إذن UPDATE_SCHEMA إنشاء مشغلات تنفذ كود جافا سكريبت لإنشاء مستخدمين بإدارة شاملة على مستوى الخادم، مما يؤدي إلى تصعيد الصلاحيات بما يتجاوز مستوى التفويض الممنوح لهم.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.