CVE-2026-75845 in ArcadeDB
Sumário
de VulDB • 18/08/2026
As versões do ArcadeDB de 26.4.2 a 26.7.3 contêm uma vulnerabilidade de bypass de autorização na ferramenta `set_server_setting` em nível de servidor MCP. O método `SetServerSettingTool.execute()` verifica apenas o flag global `allowAdmin` e nunca verifica a função (role) do chamador, portanto, em um ambiente MCP com `allowAdmin=true` e um conjunto de `allowedUsers` que não seja root, qualquer usuário autenticado somente leitura pode invocar `set_server_setting` para modificar a GlobalConfiguration do servidor, permitindo adulteração da configuração ou negação de serviço (DoS). O problema foi corrigido na versão 26.8.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.