- Yama var
- Son 7 gün
- CWE-863
CVE-2026-114059
ArcadeDB'de Gremlin Groovy motorunda yetkilendirme eksikliği nedeniyle uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
ArcadeDB'nin 26.10.1 sürümünden önceki sürümleri, GremlinQueryEngine.command metodunda betik yetkilendirme kontrollerinin bulunmaması nedeniyle uzaktan kod çalıştırma açığı içermektedir. Bu açık, yalnızca okuma rolüne sahip kullanıcılar dahil olmak üzere kimliği doğrulanmış kullanıcıların Groovy kodu çalıştırmasına olanak tanır. Saldırganlar, Groovy motoru etkinleştirildiğinde, POST /api/v1/command/{database} uç noktasına Gremlin komutları göndererek sunucu işlem kullanıcısı olarak işletim sistemi komutlarını çalıştırabilir.
Kaynaktaki açıklama (İngilizce)
ArcadeDB before 26.10.1 contains a remote code execution vulnerability that allows authenticated users, including read-only reader role holders, to execute Groovy code because GremlinQueryEngine.command() lacks scripting authorization checks. Attackers can submit Gremlin commands to the POST /api/v1/command/{database} endpoint when the Groovy engine is enabled to run OS commands as the server process user.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ArcadeData arcadedb | < 26.10.1 | 26.10.1 |
| 26.10.1 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.