ArcadeDB before 26.10.2 Improper Session Revocation in Wire-Protocol Connections

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

ArcadeDB before 26.10.2 contains an improper authorization vulnerability that allows revoked users to retain access through already-open Postgres, Bolt, MongoDB, or Redis wire-protocol connections. Attackers holding an existing connection can keep reading and writing data after deletion, grant removal, or password rotation, because executors keep a stale ServerSecurityUser.

Etkilenen sürümler1 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…cadedb/security/advisories/GHSA-vc4x-rm58-r9cr Üretici bülteni
• vulncheck.com/…ession-revocation-in-wire-protocol-connections Üçüncü taraf

Kayıt geçmişi

1. 30 Eki 2026 16:18Yayımlandı

İlgili açıklar

• 4,3 CVE-2026-119576ArcadeDB from 21.12.1 before 26.10.2 GraphQL Schema Replacement via Read-Only Query Endpoint
• 6,5 CVE-2026-119575ArcadeDB 26.8.1 before 26.10.2 SSRF via ALTER DATABASE LOAD CSV Block List
• 7,5 CVE-2026-114059ArcadeDB'de Gremlin Groovy motorunda yetkilendirme eksikliği nedeniyle uzaktan kod çalıştırma
• 4,3 CVE-2026-114058ArcadeDB Bolt protokolünde yetkilendirme eksikliği, kimliği doğrulanmış kullanıcılara şema bilgilerini açıyor
• 4,3 CVE-2026-114057ArcadeDB'nin Bolt protokolünde SHOW DATABASES sorgusu yetkisiz veritabanı adlarını ifşa ediyor
• 4,3 CVE-2026-114056ArcadeDB'de ALTER TYPE WITH komutu ile yetkilendirme atlatma açığı