CVE-2026-67356 in ArcadeDB
Résumé
par VulDB • 03/08/2026
ArcadeDB avant la version 26.7.3 lie l'objet LocalDatabase réel aux contextes de déclencheurs (triggers) JavaScript avec HostAccess.ALL, permettant aux administrateurs du schéma d'appeler getSecurity().createUser() sans vérification des autorisations. Les attaquants disposant de la permission UPDATE_SCHEMA peuvent créer des déclencheurs exécutant du code JavaScript pour générer des utilisateurs administrateur à l'échelle du serveur, escaladant ainsi leurs privilèges au-delà de leur niveau d'autorisation.
If you want to get best quality of vulnerability data, you may have to visit VulDB.