CVE-2026-75851 in ArcadeDB
要約
〜によって VulDB • 2026年08月18日
ArcadeDB サーバー（com.arcadedb:arcadedb-server）のバージョン 26.7.3 およびそれ以前では、認証済みプリンシパルが非同期コマンドワーカースレッドに伝播されません。awaitResponse:false を指定して HTTP コマンドを送信すると、バインドされたユーザーを持たない DatabaseContext のある非同期ワーカーで実行されるため、スクリプト認可ゲートが無効化されます。単一のデータベースに対して読み取り権限のみを持つユーザーは、/api/v1/command エンドポイント経由で非同期 JavaScript（language=js）コマンドを送信し、制限のないホストアクセス（例：database.getSecurity().createUser）を伴うコードを実行してサーバー全体の管理者を作成でき、完全な管理制御へとエスカレートします。26.8.1 で修正されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.