PT-2026-67320 · Arcadedb · Arcadedb
CVE-2026-67340
·
Publicado
2026-07-16
·
Atualizado
2026-08-01
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
ArcadeDB versões anteriores a 26.7.2
Description
Existe um problema no
arcadedb-engine onde scripts de gatilho podem localizar classes de host em java.lang.* via Java.type porque o ScriptTriggerExecutor inclui java.lang.* nos pacotes permitidos. Um usuário autenticado com permissões de UPDATE SCHEMA pode criar um gatilho JavaScript que invoca java.lang.Runtime.getRuntime().exec() ou ProcessBuilder, resultando na execução de comandos do sistema operacional quando o gatilho é ativado. A lista de negação de reflexão não bloqueia essas buscas de host, e a configuração allowCreateProcess(false) restringe apenas a API de processo convidado do GraalVM, e não o Runtime.exec do host acessado via HostAccess.ALL.Recommendations
Atualize para a versão 26.7.2 ou posterior.
Como mitigação temporária, restrinja a permissão
UPDATE SCHEMA apenas a usuários altamente confiáveis para evitar a criação de gatilhos maliciosos.Exploit
Correção
RCE
OS Command Injection
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Arcadedb