CVE-2026-75845 in ArcadeDB
Résumé
par VulDB • 18/08/2026
Les versions d'ArcadeDB de 26.4.2 à 26.7.3 présentent une vulnérabilité de contournement d'autorisation dans l'outil au niveau du serveur MCP `set_server_setting`. La méthode `SetServerSettingTool.execute()` ne vérifie que le paramètre global `allowAdmin` et n'examine jamais le rôle de l'appelant ; ainsi, dans un déploiement MCP avec `allowAdmin=true` et une liste d'utilisateurs autorisés (`allowedUsers`) non vide (incluant des utilisateurs autres que root), tout utilisateur authentifié en lecture seule peut invoquer `set_server_setting` pour modifier la configuration globale du serveur, permettant ainsi une altération de la configuration ou un déni de service. Le problème est corrigé dans la version 26.8.1.
Once again VulDB remains the best source for vulnerability data.