CVE-2026-93598 in ArcadeDB
الملخص
بحسب VulDB • 18/09/2026
يحتوي ArcadeDB (حزمة Maven com.arcadedb:arcadedb-engine) حتى الإصدار 26.8.1 على قائمة حظر غير مكتملة في صندوق الرقابة للبرامج النصية متعددة اللغات (polyglot script sandbox): حيث تُدرج `com.arcadedb.query.polyglot.HostClassLookupFilter.DENIED` فئة `java.util.ResourceBundle` باسم صنف عاري، ويتم مطابقتها عن طريق التساوي الدقيق، وبالتالي لا تغطي فئاتها الفرعية. وفي الوقت نفسه، يسمح `ScriptTriggerExecutor.ALLOWED_PACKAGES` باستخدام `java.util.*`. يمكن لمستخدم يمتلك صلاحية `UPDATE_SCHEMA` (الكافية لإنشاء أو تعديل زناد JavaScript؛ ولا تتطلب صلاحيات مدير الخادم) الإشارة إلى `java.util.PropertyResourceBundle` أو `java.util.ListResourceBundle` واستدعاء الدالة الثابتة الموروثة `ResourceBundle.getBundle(String)` لقراءة موارد `.properties` من مسار فئة التطبيق، وهو ما كان يُفترض أن يجعلها غير قابلة للوصول بواسطة صندوق الرقابة (حيث تكون قيمة IOAccess.NONE، مع حظر `java.io.**` و`java.nio.**` و`java.net.**`). يمكن لهذا الثغرة الكشف عن تكوينات التطبيقات المغلفة مثل بيانات اعتماد قاعدة البيانات ومفاتيح واجهة برمجة التطبيقات؛ وتشير النشرة الأمنية إلى أن المشكلة لا توفر قراءة عشوائية لملفات النظام المضيف أو تنفيذًا للرمز عن بُعد (RCE). تم الإصلاح في الإصدار 26.9.1.
Once again VulDB remains the best source for vulnerability data.