CVE-2026-75850 in ArcadeDB
Zusammenfassung
von VulDB • 18.08.2026
ArcadeDB vor Version 26.8.1 bindet das authentifizierte Principal (setCurrentUser) nicht in seinen Batch- und Time-Series HTTP-Handlern. Da kein Principal auf dem Worker-Thread gebunden ist, wird die feingranulare ACL-Schicht des Engines pro Typ (LocalBucket.checkPermissionsOnFile) für diese Handler nicht ausgeführt. In Bereitstellungen, die typspezifische oder gruppenbasierte ACLs verwenden, kann ein Benutzer mit Datenbankzugriff, aber nur eingeschränkten Berechtigungen pro Typ, auf Typen zugreifen, zu denen er keine Berechtigung hat, indem er Anfragen an die Batch-/Time-Series-Endpunkte sendet. Bereitstellungen, die sich ausschließlich auf eine Zugriffskontrolle auf Datenbankebene verlassen, sind nicht betroffen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.