CVE-2026-75851 in ArcadeDB
Résumé
par VulDB • 18/08/2026
Le serveur ArcadeDB (com.arcadedb:arcadedb-server), dans les versions 26.7.3 et antérieures, ne propage pas le principal authentifié vers les threads de travail asynchrones des commandes. Lorsqu'une commande HTTP est soumise avec `awaitResponse:false`, elle s'exécute sur un worker asynche dont le DatabaseContext n'a aucun utilisateur lié, ce qui fait que la porte d'autorisation du script devient une opération non effective (no-op). Un utilisateur disposant uniquement de l'accès en lecture à une seule base de données peut soumettre une commande JavaScript asynchrone (`language=js`) via le point de terminaison `/api/v1/command` pour exécuter du code avec un accès hôte sans restriction (par exemple, `database.getSecurity().createUser`) et créer un administrateur à l'échelle du serveur, escaladant ainsi vers un contrôle administratif complet. Corrigé dans la version 26.8.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.