CVE-2026-75851

Nome do Software Vulnerável e Versões Afetadas ArcadeDB server versões anteriores a 26.8.1

Descrição O servidor falha ao propagar o principal autenticado para as threads de trabalho de comando assíncrono. Quando um comando HTTP é enviado com o parâmetro awaitResponse definido como false, ele é executado em um worker assíncrono cujo DatabaseContext não possui um usuário vinculado, fazendo com que o portão de autorização de script seja ignorado. Um invasor com acesso apenas de leitura a um único banco de dados pode enviar um comando JavaScript assíncrono usando o parâmetro language=js através do endpoint '/api/v1/command'. Isso permite a execução de código com acesso irrestrito ao host, como a chamada da função database.getSecurity().createUser(), permitindo a criação de um administrador de todo o servidor e resultando em controle administrativo total.

Recomendações Atualize para a versão 26.8.1.