CVE-2026-93598 in ArcadeDB
要約
〜によって VulDB • 2026年09月18日
ArcadeDB (Mavenアーティファクト com.arcadedb:arcadedb-engine) のバージョン 26.8.1 までは、ポリグロットスクリプトサンドボックスにおける不完全な拒否リスト（incomplete deny-list）が含まれています。com.arcadedb.query.polyglot.HostClassLookupFilter.DENIED は java.util.ResourceBundle を単一クラス名として列挙していますが、これは完全一致でマッチするためサブクラスはカバーされず、一方 ScriptTriggerExecutor.ALLOWED_PACKAGES では java.util.* が許可されています。UPDATE_SCHEMA 権限を持つユーザー（JavaScript トリガーの作成または変更に必要な権限であり、サーバー管理者権限は不要）は、java.util.PropertyResourceBundle または java.util.ListResourceBundle を参照し、継承された静的メソッド ResourceBundle.getBundle(String) を呼び出して、アプリケーションクラスパスから .properties リソースを読み出すことができます。これはサンドボックス（IOAccess.NONE 設定で、java.io.**、java.nio.** および java.net.** が拒否されている）によって到達不能にされるはずのものです。これにより、データベース認証情報や API キーなどのパッケージ化されたアプリケーション構成情報が漏洩する可能性があります。アドバイザリによると、この問題は任意のホストファイルシステムの読み取りやリモートコード実行（RCE）を直接提供するものではありません。26.9.1 で修正済みです。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.