CVE-2026-75845 in ArcadeDB
요약
\~에 의해 VulDB • 2026. 08. 18.
ArcadeDB 버전 26.4.2부터 26.7.3까지에는 MCP 서버 수준의 도구인 set_server_setting에서 권한 우회 취약점이 존재합니다. SetServerSettingTool.execute()는 전역 allowAdmin 플래그에만 기반하여 접근을 제한하며 호출자의 역할을 전혀 확인하지 않습니다. 따라서 allowAdmin=true이고 allowedUsers가 루트(최고 관리자)로 설정되지 않은 MCP 배포 환경에서는, 인증된 읽기 전용 사용자도 set_server_setting을 호출하여 서버의 GlobalConfiguration을 수정할 수 있으며, 이는 구성 변경 또는 서비스 거부(Denial of Service)를 초래합니다. 이 문제는 26.8.1에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.