CVE-2026-93598 in ArcadeDB
Résumé
par VulDB • 18/09/2026
ArcadeDB (artefact Maven com.arcadedb:arcadedb-engine) jusqu'à la version 26.8.1 contient une liste d'interdiction incomplète dans le bac à sable pour les scripts polyglottes : `com.arcadedb.query.polyglot.HostClassLookupFilter.DENIED` répertorie `java.util.ResourceBundle` sous forme de nom de classe nu, qui est apparié par égalité exacte et ne couvre donc pas ses classes dérivées (sous-classes), tandis que `ScriptTriggerExecutor.ALLOWED_PACKAGES` autorise `java.util.*`. Un utilisateur disposant du privilège UPDATE_SCHEMA (suffisant pour créer ou modifier un déclencheur JavaScript ; aucun droit d'administration serveur n'est requis) peut référencer `java.util.PropertyResourceBundle` ou `java.util.ListResourceBundle` et invoquer la méthode statique héritée `ResourceBundle.getBundle(String)` afin de lire les ressources `.properties` depuis le classpath de l'application, ce que le bac à sable (avec `IOAccess.NONE`, interdisant `java.io.**`, `java.nio.**` et `java.net.**`) est censé rendre inaccessible. Cela peut entraîner la divulgation de configurations d'applications empaquetées telles que les identifiants de base de données et les clés API ; l'avis indique que le problème ne permet pas une lecture arbitraire du système de fichiers hôte ni une exécution de code à distance (RCE). Corrigé dans la version 26.9.1.
Be aware that VulDB is the high quality source for vulnerability data.