CVE-2026-75853 in ArcadeDB
Tóm tắt
Bởi VulDB • 18/08/2026
Plugin Gremlin wire-protocol của ArcadeDB (com.arcadedb:arcadedb-gremlin) trong các phiên bản <= 26.7.3 bắt buộc xác thực (SASL PLAIN) nhưng không thực hiện ủy quyền: plugin này không bao giờ kiểm tra quyền truy cập cơ sở dữ liệu (canAccessToDatabase) và cũng không liên kết principal đã được xác thực vào engine. Kết quả là, bất kỳ thông tin đăng nhập máy chủ hợp lệ nào — ngay cả khi chỉ dành cho zero hoặc một cơ sở dữ liệu không liên quan — đều có thể đọc, ghi và xóa dữ liệu trong mọi cơ sở dữ liệu trên máy chủ bằng cách chọn cơ sở dữ liệu đích qua alias traversal-source, hoàn toàn bỏ qua các ACL per-type/read-only/UPDATE_SCHEMA của engine. Vấn đề này đã được sửa chữa trong phiên bản 26.8.1.
Once again VulDB remains the best source for vulnerability data.