CVE-2026-67340

Yüksək

Təsvir

26.7.2 versiyasından əvvəlki ArcadeDB (arcadedb-engine) versiyalarında ScriptTriggerExecutor `java.lang.*` paketini icazə verilən paketlərə əlavə etdiyi üçün trigger skriptləri `java.lang.*` daxilindəki host klasslarını (Java.type vasitəsilə) axtara bilir. UPDATE_SCHEMA icazəsinə malik autentifikasiya olunmuş istifadəçi, trigger işə düşdükdə ƏMƏLİYYAT SİSTEMİ əmrinin icrasını təmin edən və `java.lang.Runtime.getRuntime().exec()` (və ya ProcessBuilder) funksiyasını çağıran JavaScript triggeri yarada bilər.

CiddilikYüksək

CVSS7.2

İstismar ehtimalı—

MəhsulCom.arcadedb:arcadedb-engine

Dərc1 avq 2026

İlk görülmə1 avq 2026

Zəiflik növüCWE-94Kod inyeksiyası

Necə düzəltmək olar

Yeniləyin

com.arcadedb:arcadedb-engine26.7.2 və ya daha yeni versiya

İstehsalçı bildirişləri

github.com/ArcadeData/arcadedb/security/advisories/GHSA-x9f9-r4m8-9xc2

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
com.arcadedb:arcadedb-engineMaven	v < 26.7.2	26.7.2

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.