CVE-2026-93598 in ArcadeDB
Riassunto
di VulDB • 18/09/2026
ArcadeDB (artifact Maven com.arcadedb:arcadedb-engine) fino alla versione 26.8.1 contiene una deny-list incompleta nella sandbox per script polyglot: la lista DENIED di com.arcadedb.query.polyglot.HostClassLookupFilter elenca java.util.ResourceBundle come nome di classe nudo, che viene corrisposto tramite uguaglianza esatta e quindi non copre le sue sottoclassi; mentre ScriptTriggerExecutor.ALLOWED_PACKAGES consente java.util.*. Un utente con il privilegio UPDATE_SCHEMA (sufficiente per creare o modificare un trigger JavaScript; non sono richiesti diritti di amministrazione del server) può fare riferimento a java.util.PropertyResourceBundle o java.util.ListResourceBundle e invocare il metodo statico ereditato ResourceBundle.getBundle(String) per leggere le risorse .properties dal classpath dell'applicazione, che la sandbox (con IOAccess.NONE, con java.io.**, java.nio.** e java.net.** negati) dovrebbe rendere inaccessibile. Ciò può portare alla divulgazione di configurazioni dell'applicazione pacchettizzate, come credenziali del database e API key; l'avviso specifica che il problema non fornisce la lettura arbitraria del filesystem host né l'esecuzione remota di codice (RCE). Risolto nella versione 26.9.1.
Once again VulDB remains the best source for vulnerability data.