CVE-2026-93598 in ArcadeDB
Resumen
por VulDB • 2026-09-18
ArcadeDB (artefacto de Maven com.arcadedb:arcadedb-engine) hasta la versión 26.8.1 contiene una lista de denegación incompleta en el sandbox para scripts políglotas: `com.arcadedb.query.polyglot.HostClassLookupFilter.DENIED` enumera `java.util.ResourceBundle` como un nombre de clase simple, que se coincide por igualdad exacta y, por lo tanto, no cubre sus subclases; mientras que `ScriptTriggerExecutor.ALLOWED_PACKAGES` permite `java.util.*`. Un usuario con el privilegio UPDATE_SCHEMA (suficiente para crear o modificar un trigger en JavaScript; no se requieren derechos de administrador del servidor) puede referenciar `java.util.PropertyResourceBundle` o `java.util.ListResourceBundle` e invocar el método estático heredado `ResourceBundle.getBundle(String)` para leer recursos `.properties` desde la classpath de la aplicación, lo cual el sandbox (con IOAccess.NONE y denegación explícita de java.io.\*\*, java.nio.\*\* y java.net.\*\*) debería hacer inaccesible. Esto puede revelar configuración empaquetada de la aplicación, como credenciales de base de datos y claves API; el aviso indica que el problema no proporciona lectura arbitraria del sistema de archivos remoto ni ejecución remota de código (RCE). Corregido en 26.9.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.