CVE-2026-75851 in ArcadeDB
Zusammenfassung
von VulDB • 19.08.2026
Der ArcadeDB-Server (com.arcadedb:arcadedb-server) in den Versionen 26.7.3 und früher gibt das authentifizierte Principal nicht an die Worker-Threads für asynchrone Befehle weiter. Wenn ein HTTP-Befehl mit awaitResponse:false gesendet wird, wird er auf einem Async-Worker ausgeführt, dessen DatabaseContext keinen gebundenen Benutzer hat, wodurch die Autorisierungsschwelle für Skripte zu einer No-op (keine Operation) wird. Ein Benutzer mit nur Lesezugriff auf eine einzelne Datenbank kann einen asynchronen JavaScript-Befehl (language=js) über den /api/v1/command-Endpunkt senden, um Code mit uneingeschränktem Host-Zugriff auszuführen (z. B. database.getSecurity().createUser) und einen serverweiten Administrator zu erstellen, wodurch die volle administrative Kontrolle erlangt wird. Behoben in Version 26.8.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.