CVE-2026-67340

KrytyczneCVSS 9.8

Opublikowano: 01/08/2026(UTC)Przetłumaczono: 01/08/2026(UTC)NVD NIST

Streszczenie

ArcadeDB przed wersją 26.7.2 (arcadedb-engine) umożliwia skryptom wyzwalaczy odwoływanie się do klas hosta w java.lang.* (poprzez Java.type), ponieważ ScriptTriggerExecutor dodaje java.lang.* do dozwolonych pakietów. Uwierzytelniony użytkownik z uprawnieniami UPDATE_SCHEMA może utworzyć wyzwalacz JavaScript, który wywołuje java.lang.Runtime.getRuntime().exec() (lub ProcessBuilder), osiągając wykonanie poleceń systemu operacyjnego po uruchomieniu wyzwalacza.

Ocena ryzyka

Ryzyko polega na możliwości wykonania dowolnych poleceń systemu operacyjnego przez uwierzytelnionego użytkownika, co może prowadzić do pełnego przejęcia kontroli nad serwerem.

Rekomendacja

Należy zaktualizować ArcadeDB do wersji 26.7.2 lub nowszej, która usuwa tę podatność.

Oryginalny opis (angielski, źródło NVD)

ArcadeDB before 26.7.2 (arcadedb-engine) allows trigger scripts to look up host classes in java.lang.* (via Java.type) because ScriptTriggerExecutor adds java.lang.* to the allowed packages. An authenticated user with UPDATE_SCHEMA permission can create a JavaScript trigger that invokes java.lang.Runtime.getRuntime().exec() (or ProcessBuilder), achieving OS command execution when the trigger fires.