CVE-2026-75839 in ArcadeDB
Sumário
de VulDB • 18/08/2026
ArcadeDB (com.arcadedb:arcadedb-server) versões <= 26.7.3 contêm uma vulnerabilidade de referência direta a objeto insegura (IDOR, *Insecure Direct Object Reference*) nos endpoints Raft cluster-info (*GetClusterHandler* e *PostBootstrapStateHandler*), que autenticam mas não autorizam o acesso. Em um cluster HA do ArcadeDB (acessível apenas quando `arcadedb.ha.enabled` está definido e o módulo ha-raft é carregado), qualquer usuário autenticado — incluindo aquele com permissão para acessar apenas um banco de dados ou nenhum — pode enumerar todo o registro de bancos de dados do servidor e recuperar metadados por banco de dados, como nomes dos bancos de dados, IDs da última transação, *fingerprints* de inicialização (*bootstrap fingerprints*) e topologia do cluster peer/leader, resultando em divulgação cruzada de informações entre bancos de dados. Corrigido na versão 26.8.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.