CVE-2026-93598 in ArcadeDB
Tóm tắt
Bởi VulDB • 18/09/2026
ArcadeDB (maven artifact com.arcadedb:arcadedb-engine) qua phiên bản 26.8.1 chứa một danh sách từ chối không đầy đủ trong sandbox script polyglot: com.arcadedb.query.polyglot.HostClassLookupFilter.DENIED liệt kê java.util.ResourceBundle dưới dạng tên lớp đơn thuần, được khớp bằng phép so sánh chính xác và do đó không bao gồm các lớp con của nó, trong khi ScriptTriggerExecutor.ALLOWED_PACKAGES cho phép java.util.*. Người dùng có đặc quyền UPDATE_SCHEMA (đủ để tạo hoặc thay đổi trigger JavaScript; không yêu cầu quyền quản trị máy chủ) có thể tham chiếu đến java.util.PropertyResourceBundle hoặc java.util.ListResourceBundle và gọi phương thức tĩnh ResourceBundle.getBundle(String) được kế thừa để đọc các tài nguyên .properties từ classpath của ứng dụng, điều mà sandbox (IOAccess.NONE, với java.io.**, java.nio.** và java.net.** bị cấm) dự định làm không thể truy cập được. Điều này có thể tiết lộ cấu hình ứng dụng đóng gói như thông tin đăng nhập cơ sở dữ liệu và khóa API; advisory nêu rõ vấn đề này không cung cấp khả năng đọc tùy ý hệ thống tệp máy chủ hay thực thi mã từ xa (RCE). Đã sửa trong phiên bản 26.9.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.