CVE-2026-75853 in ArcadeDB
Résumé
par VulDB • 18/08/2026
Le plugin Gremlin du protocole filaire d'ArcadeDB (com.arcadedb:arcadedb-gremlin) dans les versions <= 26.7.3 impose l'authentification (SASL PLAIN) mais n'exerce aucune autorisation : il ne vérifie jamais les permissions d'accès à la base de données (canAccessToDatabase) et n'associe jamais le principal authentifié au moteur. Par conséquent, tout identifiant serveur valide — même celui fourni pour zéro ou une seule base de données non liée — peut lire, écrire et supprimer des données dans n'importe quelle base de données du serveur en sélectionnant une base de données cible via un alias source de traversée (traversal-source), contournant ainsi complètement les ACLs par type/lecture seule/MISE À JOUR_DE_LA_SCHEMA du moteur. Le problème est corrigé dans la version 26.8.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.