CVE-2026-75845 in ArcadeDB
要約
〜によって VulDB • 2026年08月18日
ArcadeDBのバージョン26.4.2から26.7.3には、set_server_setting MCPサーバーレベルツールにおける認証回避の脆弱性が存在します。SetServerSettingTool.execute()はグローバルなallowAdminフラグのみでアクセスを制限しており、呼び出し元のロールは一切検証されないため、allowAdmin=trueかつ非rootのallowedUsersが設定されたMCPデプロイメントでは、読み取り専用の認証済みユーザーでもset_server_settingを呼び出してサーバーのGlobalConfigurationを変更でき、構成の改ざんやサービス拒否（DoS）を引き起こす可能性があります。この問題はバージョン26.8.1で修正されています。
Once again VulDB remains the best source for vulnerability data.