CVE-2026-76223
WysokieCVSS 7.1Streszczenie
ArcadeDB (com.arcadedb) w wersjach 26.7.3 i wcześniejszych nie egzekwuje sprawdzenia uprawnień UPDATE_SCHEMA, gdy instrukcja DEFINE FUNCTION dotyczy już istniejącej biblioteki funkcji. Użytkownik z samym dostępem do bazy danych może dodawać lub nadpisywać funkcje SQL lub Cypher w istniejącej bibliotece i utrwalić zmianę, co umożliwia manipulowanie logiką funkcji zdefiniowanych przez administratora. Problem został naprawiony w wersji 26.8.1.
Ocena ryzyka
Użytkownik bez uprawnień administracyjnych może zmienić logikę funkcji używanych przez aplikacje, co może prowadzić do nieautoryzowanych działań lub naruszenia integralności danych.
Rekomendacja
Zaktualizuj ArcadeDB do wersji 26.8.1 lub nowszej. Ogranicz dostęp do bazy danych tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
ArcadeDB (com.arcadedb) versions 26.7.3 and earlier fail to enforce the UPDATE_SCHEMA permission check when a DEFINE FUNCTION statement targets an already-existing function library. A user with only database access can add or overwrite SQL or Cypher functions in an existing library and persist the change, enabling tampering with admin-defined function logic. The issue is fixed in 26.8.1. (JavaScript functions still trigger the UPDATE_SECURITY check and are not affected.)