CVE-2026-67341
KrytyczneCVSS 9.8Streszczenie
ArcadeDB przed wersją 26.7.2 nie egzekwuje kontroli autoryzacji skryptów dla instrukcji SQL DEFINE FUNCTION z językiem js. Atakujący z dostępem do bazy danych może wykonać dowolny kod JavaScript, przesyłając instrukcje DEFINE FUNCTION, omijając zabezpieczenia ograniczające skryptowanie do administratorów.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego kodu JavaScript przez nieuprawnionego użytkownika, co może prowadzić do naruszenia bezpieczeństwa systemu.
Rekomendacja
Należy zaktualizować ArcadeDB do wersji 26.7.2 lub nowszej, która naprawia tę podatność.
Oryginalny opis (angielski, źródło NVD)
ArcadeDB versions before 26.7.2 fail to enforce scripting authorization checks on the SQL DEFINE FUNCTION statement with LANGUAGE js. Attackers with database access can execute arbitrary JavaScript code by submitting DEFINE FUNCTION statements, bypassing security controls intended to restrict scripting to administrators.