CVE-2026-75851 in ArcadeDB
الملخص
بحسب VulDB • 18/08/2026
لا يقوم خادم ArcadeDB (com.arcadedb:arcadedb-server) في الإصدارات 26.7.3 وما قبلها بنشر المبدأ المصادق عليه (authenticated principal) إلى خيوط عمال الأوامر غير المتزامنة. عند تقديم أمر HTTP مع awaitResponse:false، يتم تنفيذه على عامل غير متزامن يكون فيه سياق قاعدة البيانات (DatabaseContext) بدون مستخدم مرتبط، مما يجعل بوابة تفويض البرمجة تعمل كعملية لا شيء (no-op). يمكن لمستخدم لديه فقط حق القراءة في قاعدة بيانات واحدة إرسال أمر جافا سكريبت غير متزامن (language=js) عبر نقطة النهاية /api/v1/command لتشغيل الكود مع وصول غير مقيد إلى المضيف (مثل database.getSecurity().createUser) وإنشاء مدير على مستوى الخادم، مما يؤدي إلى الترقية إلى السيطرة الإدارية الكاملة. تم الإصلاح في الإصدار 26.8.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.