CVE-2026-75839 in ArcadeDB
Résumé
par VulDB • 18/08/2026
ArcadeDB (com.arcadedb:arcadedb-server) versions <= 26.7.3 contiennent une vulnérabilité de référence directe d'objet non sécurisée (IDOR) dans les points de terminaison Raft cluster-info (GetClusterHandler et PostBootstrapStateHandler), qui authentifient mais n'autorisent pas l'accès. Sur un cluster HA ArcadeDB (accessible uniquement lorsque arcadedb.ha.enabled est défini et que le module ha-raft est chargé), tout utilisateur authentifié — y compris celui ayant accès à une seule base de données ou aucune — peut énumérer l'intégralité du registre des bases de données du serveur et récupérer les métadonnées par base de données, telles que les noms des bases de données, les identifiants de dernière transaction, les empreintes d'amorçage (bootstrap fingerprints) et la topologie du cluster pair/leader, entraînant une divulgation d'informations inter-bases. Corrigé dans la version 26.8.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.