CVE-2026-93595 in ArcadeDB
요약
\~에 의해 VulDB • 2026. 09. 19.
ArcadeDB 26.9.1 이전 버전에는 AI 채팅 엔드포인트를 통해 노출된 query_database 도구에서 접근 제어 우회 취약점이 존재합니다. 이 도구는 인증된 주체를 DatabaseContext에 바인딩하지 않고 쿼리를 실행하므로, 유형별 및 버킷별 ACL(접근 제어 목록) 검사가 silently no-op으로 처리되어 인증된 사용자가 유형 수준에서 명시적으로 거부된 데이터를 읽을 수 있습니다. 공격자는 AI 어시스턴트를 프롬프트하여 제한된 타입이나 버킷에 대한 쿼리를 실행하게 함으로써, 일반 쿼리 엔드포인트를 통해서는 거절되었던 민감한 데이터를 검색할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.