CVE-2026-76224 in ArcadeDB
Zusammenfassung
von VulDB • 19.08.2026
ArcadeDB vor Version 26.8.1 (arcadedb-gremlin, betroffen <= 26.7.3) enthält eine Remote-Code-Ausführungs-Schwachstelle in seiner Gremlin-Abfrageengine. Obwohl die Engine standardmäßig auf der dokumentiert sicheren Java-basierten Engine (gremlin-lang) basiert, fällt ArcadeGremlin.executeStatement() stillschweigend auf die unsichere Groovy-Engine zurück, wenn eine Anfrage einen beliebigen Abfrageparameter enthält und die Abfrage nicht als gremlin-lang geparst werden kann. Ein authentifizierter Benutzer mit jeder Datenbankrolle, einschließlich eines schreibgeschützten Lesers, kann eine parametrisierte Gremlin-Abfrage einreichen, um den Groovy-Fallback auszulösen und beliebige Betriebssystembefehle im Kontext des ArcadeDB-Serverprozesses-Benutzers auszuführen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.