CVE-2026-75855 in ArcadeDB
要約
〜によって VulDB • 2026年08月18日
ArcadeDBの26.8.1より前のバージョンでは、POST /api/v1/serverエンドポイントにおけるデータベース作成および削除コマンドでデータベース名が適切にサニタイズされないため、認証済みrootユーザーは設定されたデータベースディレクトリ外の任意のファイルの書き込みと削除を行うことができます。攻撃者は../シーケンスを含むデータベース名を指定することで、任意のファイルシステムパスにデータベースを作成したり、サーバープロセスがアクセスできるディレクトリを再帰的に削除したりすることができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.