CVE-2026-114059
CVE-2026-114059 · ArcadeDB before 26.10.1 RCE via Gremlin Groovy Engine Missing Authorization
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
ArcadeDB before 26.10.1 contains a remote code execution vulnerability that allows authenticated users, including read-only reader role holders, to execute Groovy code because GremlinQueryEngine.command() lacks scripting authorization checks. Attackers can submit Gremlin commands to the POST /api/v1/command/{database} endpoint when the Groovy engine is enabled to run OS commands as the server process user.
CVSS 7.7 · Высокий · EPSS 0,4% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
arcadedb
- Версии
- ≥ 0, < 26.10.1: Затронуто (semver)
- 26.10.1: Не затронуто (semver)
Обновитесь до 26.10.1