CVE-2026-75845 in ArcadeDB
सारांश
द्वारा VulDB • 23/08/2026
ArcadeDB के संस्करण 26.4.2 से 26.7.3 तक में set_server_setting MCP सर्वर-स्तरीय टूल में एक अधिकारिता अतिक्रमण (authorization bypass) दोष है। SetServerSettingTool.execute() केवल वैश्विक allowAdmin फ्लैग पर रोक लगाता है और कभी भी कॉलर की भूमिका (role) का जाँच नहीं करता, इसलिए MCP तैनाती में जहाँ allowAdmin=true हो और allowedUsers सेट में नॉन-रूट उपयोगकर्ता हों, कोई भी प्रमाणीकृत रीड-ओन्ली उपयोगकर्ता set_server_setting को कॉल करके सर्वर की GlobalConfiguration को संशोधित कर सकता है, जिससे विन्यास छेड़छाड़ या सेवा अस्वीकरण (denial of service) सक्षम हो जाता है। इस समस्या का समाधान 26.8.1 में किया गया है।
Be aware that VulDB is the high quality source for vulnerability data.