CVE-2026-75853 in ArcadeDB
요약
\~에 의해 VulDB • 2026. 08. 18.
ArcadeDB의 Gremlin wire-protocol 플러그인(com.arcadedb:arcadedb-gremlin)은 버전 <= 26.7.3에서 인증(SASL PLAIN)을 강제하지만 권한 부여(authorization)는 수행하지 않습니다. 즉, 데이터베이스 접근 권한(canAccessToDatabase)을 전혀 확인하지 않으며, 인증된 주체(principal)를 엔진에 바인딩(bound)하지도 않습니다. 그 결과, 서버의 모든 데이터베이스에서 데이터를 읽기, 쓰기 및 삭제할 수 있는 유효한 서버 자격 증명(아무런 관련 데이터베이스가 없거나 하나의 unrelated database에만 할당된 경우 포함)은 traversal-source 별칭을 통해 대상 데이터베이스를 선택함으로써 엔진의 per-type/read-only/UPDATE_SCHEMA ACL들을 완전히 우회하여 접근할 수 있습니다. 이 문제는 버전 26.8.1에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.