CVE-2026-67340

Nome do Software Vulnerável e Versões Afetadas ArcadeDB versões anteriores a 26.7.2

Description Existe um problema no arcadedb-engine onde scripts de gatilho podem localizar classes de host em java.lang.* via Java.type porque o ScriptTriggerExecutor inclui java.lang.* nos pacotes permitidos. Um usuário autenticado com permissões de UPDATE SCHEMA pode criar um gatilho JavaScript que invoca java.lang.Runtime.getRuntime().exec() ou ProcessBuilder, resultando na execução de comandos do sistema operacional quando o gatilho é ativado. A lista de negação de reflexão não bloqueia essas buscas de host, e a configuração allowCreateProcess(false) restringe apenas a API de processo convidado do GraalVM, e não o Runtime.exec do host acessado via HostAccess.ALL.

Recommendations Atualize para a versão 26.7.2 ou posterior. Como mitigação temporária, restrinja a permissão UPDATE SCHEMA apenas a usuários altamente confiáveis para evitar a criação de gatilhos maliciosos.