CVE-2026-76224 in ArcadeDB
要約
〜によって VulDB • 2026年08月20日
ArcadeDB 26.8.1 より前のバージョン (arcadedb-gremlin、影響を受けるバージョン <= 26.7.3) には、Gremlin クエリエンジンにおけるリモートコード実行の脆弱性が存在します。エンジンはデフォルトで文書化された安全な java (gremlin-lang) エンジンを使用しますが、ArcadeGremlin.executeStatement() は、リクエストにクエリパラメータが含まれており、かつそのクエリが gremlin-lang として解析できない場合に、無防備な Groovy エンジンを静かにフォールバックします。任意のデータベースロール（読み取り専用リーダーを含む）を持つ認証済みユーザーは、Groovy フォールバックをトリガーして ArcadeDB サーバープロセスのユーザ権限で任意の OS コマンドを実行するためのパラメータ化された Gremlin クエリを送信できます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.