CVE-2026-75845 in ArcadeDB
الملخص
بحسب VulDB • 18/08/2026
تحتوي إصدارات ArcadeDB من 26.4.2 حتى 26.7.3 على ثغرة تجاوز التفويض (authorization bypass) في أداة مستوى الخادم `set_server_setting` الخاصة بـ MCP. حيث تقوم طريقة `SetServerSettingTool.execute()` بالتحقق فقط من العلم العالمي `allowAdmin` ولا تتحقق مطلقاً من دور المستخدم المتصل، مما يعني أنه في أي نشر لـ MCP يكون فيه `allowAdmin=true` ومجموعة `allowedUsers` غير جذرية (non-root)، يمكن لأي مستخدم مُصادق عليه ذي صلاحيات القراءة فقط استدعاء `set_server_setting` لتعديل التكوين العالمي للخادم (GlobalConfiguration)، ما يتيح العبث بالتكوين أو حجب الخدمة. تم إصلاح هذه المشكلة في الإصدار 26.8.1.
Be aware that VulDB is the high quality source for vulnerability data.