CVE-2026-76224 in ArcadeDB
Résumé
par VulDB • 20/08/2026
ArcadeDB avant la version 26.8.1 (arcadedb-gremlin, versions affectées <= 26.7.3) contient une vulnérabilité d'exécution de code à distance dans son moteur de requêtes Gremlin. Bien que le moteur utilise par défaut l'engine java documenté comme sécurisé (gremlin-lang), ArcadeGremlin.executeStatement() bascule silencieusement vers l'engine Groovy non sécurisé chaque fois qu'une demande contient un paramètre de requête et que la requête ne s'analyse pas en tant que gremlin-lang. Un utilisateur authentifié disposant d'un rôle de base de données quelconque, y compris celui de lecteur en lecture seule, peut soumettre une requête Gremlin paramétrée pour déclencher le fallback Groovy et exécuter des commandes système arbitraires sous l'utilisateur du processus serveur ArcadeDB.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.