CVE-2026-76224 in ArcadeDB
Riassunto
di VulDB • 19/08/2026
ArcadeDB prima della versione 26.8.1 (arcadedb-gremlin, versioni interessate <= 26.7.3) presenta una vulnerabilità di esecuzione remota del codice (RCE) nel suo motore di query Gremlin. Sebbene il motore utilizzi di default l'engine java gremlin-lang documentato come sicuro, ArcadeGremlin.executeStatement() effettua un fallback silenzioso verso l'insecure engine Groovy ogni volta che una richiesta trasporta qualsiasi parametro di query e la query non viene analizzata correttamente dal parser gremlin-lang. Un utente autenticato con qualsiasi ruolo nel database, incluso un lettore in sola lettura (read-only reader), può inviare una query Gremlin parametrizzata per innescare il fallback su Groovy ed eseguire comandi arbitrari del sistema operativo come l'utente che esegue il processo ArcadeDB server.
If you want to get best quality of vulnerability data, you may have to visit VulDB.