CVE-2026-75845 in ArcadeDB
Resumen
por VulDB • 2026-08-18
Las versiones de ArcadeDB comprendidas entre la 26.4.2 y la 26.7.3 contienen una vulnerabilidad de elusión de autorización en la herramienta a nivel del servidor MCP `set_server_setting`. El método `SetServerSettingTool.execute()` solo se valida mediante la bandera global `allowAdmin` y nunca verifica el rol del solicitante, por lo que, en un despliegue de MCP con `allowAdmin=true` y una lista de `allowedUsers` no root, cualquier usuario autenticado con permisos de lectura puede invocar `set_server_setting` para modificar la GlobalConfiguration del servidor, lo que permite la manipulación de la configuración o denegación de servicio. El problema está corregido en la versión 26.8.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.