CVE-2026-75843
KrytyczneCVSS 9.9Streszczenie
ArcadeDB przed wersją 26.8.1 nie wiąże uwierzytelnionego podmiotu z wątkiem wykonawcy transakcji gRPC w beginTransaction, co pozwala uwierzytelnionym użytkownikom z prawami odczytu na wykonywanie poleceń JavaScript bez kontroli autoryzacji skryptów. Atakujący mogą wykonać executeCommand z identyfikatorem transakcji, aby uruchomić nieograniczony JavaScript tworzący konta administratora całego serwera.
Ocena ryzyka
Uwierzytelniony użytkownik z ograniczonymi uprawnieniami może eskalować do roli administratora, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Zaleca się aktualizację ArcadeDB do wersji 26.8.1 lub nowszej, która naprawia ten problem.
Oryginalny opis (angielski, źródło NVD)
ArcadeDB before 26.8.1 fails to bind the authenticated principal on the gRPC transaction executor thread in beginTransaction, allowing authenticated readers to execute JavaScript commands without scripting authorization checks. Attackers can execute executeCommand with a transaction ID to run unrestricted JavaScript that creates server-wide administrator accounts.