CVE-2026-76224
WysokieCVSS 8.8Streszczenie
ArcadeDB przed wersją 26.8.1 zawiera podatność zdalnego wykonania kodu w silniku zapytań Gremlin. Mimo że domyślnie używany jest bezpieczny silnik java, ArcadeGremlin.executeStatement() po cichu przełącza się na niebezpieczny silnik Groovy, gdy żądanie zawiera parametry zapytania, a zapytanie nie jest parsowane jako gremlin-lang. Uwierzytelniony użytkownik z dowolną rolą, w tym tylko do odczytu, może wykonać dowolne polecenia systemu operacyjnego jako proces serwera ArcadeDB.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem ArcadeDB, wykonując dowolne polecenia, co prowadzi do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaktualizuj ArcadeDB do wersji 26.8.1 lub nowszej, która zawiera poprawkę. Dodatkowo ogranicz dostęp do zapytań Gremlin tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
ArcadeDB before 26.8.1 (arcadedb-gremlin, affected <= 26.7.3) contains a remote code execution vulnerability in its Gremlin query engine. Although the engine defaults to the documented-secure java (gremlin-lang) engine, ArcadeGremlin.executeStatement() silently falls back to the insecure Groovy engine whenever a request carries any query parameter and the query does not parse as gremlin-lang. An authenticated user with any database role, including a read-only reader, can submit a parameterized Gremlin query to trigger the Groovy fallback and execute arbitrary operating system commands as the ArcadeDB server process user.