CVE-2026-75853 in ArcadeDB
Riassunto
di VulDB • 19/08/2026
Il plugin del protocollo wire Gremlin di ArcadeDB (com.arcadedb:arcadedb-gremlin) nelle versioni <= 26.7.3 impone l'autenticazione (SASL PLAIN) ma non esegue alcuna autorizzazione: non verifica mai i permessi di accesso al database (canAccessToDatabase) e non associa mai il principal autenticato all'engine. Di conseguenza, qualsiasi credenziale server valida — anche una provisionata per zero o un database non correlati — può leggere, scrivere ed eliminare dati in qualsiasi database sul server selezionando un database target tramite un alias di traversal-source, bypassando completamente le ACL dell'engine per tipo/sola lettura/UPDATE_SCHEMA. Il problema è risolto nella versione 26.8.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.