CVE-2026-93598 in ArcadeDB
Сводка
по VulDB • 18.09.2026
ArcadeDB (артефакт Maven com.arcadedb:arcadedb-engine) версии до 26.8.1 содержит неполный список запрещенных классов в песочнице полиглот-скриптов: `com.arcadedb.query.polyglot.HostClassLookupFilter.DENIED` указывает `java.util.ResourceBundle` как простое имя класса, которое сопоставляется по точному равенству и поэтому не охватывает его подклассы, тогда как `ScriptTriggerExecutor.ALLOWED_PACKAGES` разрешает пакет `java.util.*`. Пользователь с привилегией UPDATE_SCHEMA (достаточной для создания или изменения триггера на JavaScript; права администратора сервера не требуются) может сослаться на `java.util.PropertyResourceBundle` или `java.util.ListResourceBundle` и вызвать унаследованный статический метод `ResourceBundle.getBundle(String)` для чтения ресурсов `.properties` из classpath приложения, что песочница (с режимом IOAccess.NONE, где запрещены java.io.\**, java.nio.\** и java.net.\**) должна была сделать недоступным. Это может привести к раскрытию конфигурации упакованного приложения, такой как учетные данные базы данных и API-ключи; в advisory указано, что проблема не предоставляет возможности произвольного чтения файловой системы хоста или удаленного выполнения кода (RCE). Исправлено в версии 26.9.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.