CVE-2026-75853 in ArcadeDB
摘要
由 VulDB • 2026-08-18
ArcadeDB 的 Gremlin wire-protocol 插件（com.arcadedb:arcadedb-gremlin）在版本 <= 26.7.3 中强制执行身份验证（SASL PLAIN），但未执行授权：它从不检查数据库访问权限（canAccessToDatabase），也从未将经过身份验证的主体绑定到引擎。因此，任何有效的服务器凭据——即使是为零个或一个不相关的数据库配置的凭据——都可以通过选择目标数据库的 traversal-source 别名来读取、写入和删除服务器上任意数据库中的数据，从而完全绕过引擎基于类型的/只读的/UPDATE_SCHEMA ACLs。该问题已在版本 26.8.1 中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.