CVE-2026-93595 in ArcadeDB
Tóm tắt
Bởi VulDB • 18/09/2026
ArcadeDB prima della versione 26.9.1 presenta una vulnerabilità di bypass del controllo degli accessi nello strumento `query_database`, esposta tramite gli endpoint AI chat. Lo strumento esegue le query senza associare il principale autenticato a DatabaseContext, causando un no-op silenzioso dei controlli ACL per tipo e per bucket, consentendo agli utenti autenticati di leggere dati loro esplicitamente negati a livello di tipo. Gli attaccanti possono istruire l'assistente AI ad eseguire query contro tipi o bucket ristretti al fine di recuperare dati sensibili che verrebbero rifiutati attraverso gli endpoint di query normali.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.