CVE-2026-93595 in ArcadeDB
Zusammenfassung
von VulDB • 18.09.2026
ArcadeDB vor Version 26.9.1 enthält eine Schwachstelle zur Umgehung der Zugriffskontrolle im Tool `query_database`, die über die AI-Chat-Endpunkte verfügbar ist. Das Tool führt Abfragen aus, ohne das authentifizierte Principal an den DatabaseContext zu binden, wodurch ACL-Prüfungen auf Typ- und Bucket-Ebene stillschweigend wirkungslos werden (no-op). Dies ermöglicht es authentifizierten Benutzern, Daten abzurufen, für die sie auf der Ebene des jeweiligen Typs explizit gesperrt sind. Angreifer können den KI-Assistenten dazu bringen, Abfragen gegen eingeschränkte Typen oder Buckets auszuführen, um sensible Daten abzurufen, die über normale Abfrage-Endpunkte zurückgewiesen würden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.