CVE-2026-65831

ArcadeDB: Privilege escalation via reader role in /api/v1/command JS scripting language — arbitrary host file read

CVSS 3.1High

7.7/ 10.0

Опубликовано

15 сентября 2026 г.

Обновлено

15 сентября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 26.7.1

Обновите ArcadeDB до версии 26.7.1 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Повышение привилегий в ArcadeDB позволяет пользователю с ролью reader читать произвольные файлы на хосте через движок JS-скриптов.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Эндпоинт POST /api/v1/command/{database} с параметром language: js не проверяет права администратора БД в методах PolyglotQueryEngine.command, PolyglotQueryEngine.analyze и PolyglotQueryEngine.registerFunctions. Кроме того, движок GraalPolyglotEngine допускает обход белого списка разрешенных пакетов через рефлексию объекта базы данных database.getClass().getClassLoader().loadClass к произвольным классам хоста.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Чтение произвольных файлов операционной системы за пределами каталога БД с привилегиями учетной записи процесса. RCE не подтверждено из-за блокировки создания процессов.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

ArcadeDataarcadedb

все ранние➔Fix: 26.7.1

com.arcadedbarcadedb-server

все ранние➔Fix: 26.7.1

——

>= 0➔Fix: 26.7.1

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (3)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-65831: ArcadeDB: Privilege escalation via reader role in /api/v1/command JS scripting language — arbitrary host file read. URL: https://cve.futuretools.ru/cve/CVE-2026-65831

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_65831,
  title = {{CVE-2026-65831: ArcadeDB: Privilege escalation via reader role in /api/v1/command JS scripting language — arbitrary host file read}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-65831}},
  note = {Оперативный инженерный анализ киберугроз}
}