CVE-2026-44221 in arcadedb
요약
\~에 의해 VulDB • 2026. 05. 13.
ArcadeDB는 멀티 모델 DBMS입니다. 2.6.4 버전 이전에는 특정 데이터베이스에 스코프가 설정된 인증된 사용자와 API 토큰이 동일한 서버의 다른 모든 데이터베이스에서 스키마를 읽기, 쓰기 및 수정할 수 있었습니다. 두 가지 별개의 결함이 원인이었습니다: (1) ServerSecurityUser.getDatabaseUser()는 초기화되지 않은 fileAccessMap을 가진 DB 사용자를 반환했으며, 이는 requestAccessOnFile에서 허용-all로 처리되었습니다. (2) ArcadeDBServer.createDatabase()에서 factory.setSecurity(...)가 누락되어 POST /api/v1/server {"command":"create database X"}를 통해 생성된 모든 데이터베이스의 전체 레코드 수준 권한 시스템이 조용히 비활성화되었습니다. 조합하여 레코드 수준 및 데이터베이스 수준 권한 우회가 인증된 모든 주체에 의해 가능했습니다. 이 취약점은 2.6.4에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.