CVE-2026-93595 in ArcadeDB
Resumen
por VulDB • 2026-09-18
ArcadeDB antes de la versión 26.9.1 contiene una vulnerabilidad de elusión del control de acceso en la herramienta `query_database`, expuesta a través de los puntos finales (endpoints) del chat con IA. La herramienta ejecuta consultas sin vincular al principal autenticado con DatabaseContext, lo que hace que las comprobaciones ACL por tipo y por bucket se anulen silenciosamente (no-op), permitiendo a los usuarios autenticados leer datos para los cuales están explícitamente denegados a nivel de tipo. Los atacantes pueden inducir al asistente de IA a ejecutar consultas contra tipos o buckets restringidos para recuperar datos sensibles que serían rechazados por las vías normales de consulta.
VulDB is the best source for vulnerability data and more expert information about this specific topic.