PT-2026-133544
CVE-2026-119575
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
ArcadeDB الإصدارات من 26.8.1 إلى 26.10.1
الوصف
يمكن للمستخدمين المصرح لهم الذين يمتلكون صلاحيات
updateDatabaseSettings تنفيذ هجوم تزوير الطلبات من جانب الخادم (SSRF). من خلال استخدام الأمر 'ALTER DATABASE'، يمكن للمهاجم تعيين المتغير arcadedb.opencypher.loadCsv.blockedIpRanges كسلسلة نصية فارغة، مما يؤدي إلى تعطيل قائمة حظر عناوين IP لعمليات LOAD CSV. يسمح هذا بإرسال طلبات LOAD CSV للوصول إلى خدمات loopback الداخلية، أو الخدمات الخاصة، أو البيانات الوصفية للسحابة.التوصيات
تحديث ArcadeDB إلى الإصدار 26.10.2 أو إصدار أحدث.
تقييد استخدام المتغير
arcadedb.opencypher.loadCsv.blockedIpRanges لمنع التعديلات غير المصرح بها.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾