CVE-2026-75839
ŚrednieCVSS 4.3Streszczenie
ArcadeDB (com.arcadedb:arcadedb-server) w wersjach do 26.7.3 zawiera podatność IDOR w punktach końcowych Raft cluster-info (GetClusterHandler i PostBootstrapStateHandler), które uwierzytelniają, ale nie autoryzują dostępu. W klastrze HA ArcadeDB (dostępnym tylko przy włączonym arcadedb.ha.enabled i załadowanym module ha-raft), każdy uwierzytelniony użytkownik — nawet z dostępem tylko do jednej bazy lub żadnej — może wyliczyć pełny rejestr baz serwera i uzyskać metadane per-baza, takie jak nazwy baz, ostatnie ID transakcji, odciski palców bootstrap i topologię klastra peer/leader, co prowadzi do ujawnienia informacji między bazami. Naprawiono w wersji 26.8.1.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do metadanych wszystkich baz danych w klastrze HA, co może ujawnić wrażliwe informacje o strukturze i stanie systemu. Atakujący z minimalnymi uprawnieniami może zbierać dane o bazach i topologii, co może ułatwić dalsze ataki.
Rekomendacja
Zaleca się natychmiastową aktualizację ArcadeDB do wersji 26.8.1 lub nowszej, która zawiera poprawkę. Dodatkowo należy ograniczyć dostęp do punktów końcowych cluster-info tylko do zaufanych użytkowników i sieci.
Oryginalny opis (angielski, źródło NVD)
ArcadeDB (com.arcadedb:arcadedb-server) versions <= 26.7.3 contain an insecure direct object reference (IDOR) vulnerability in the Raft cluster-info endpoints (GetClusterHandler and PostBootstrapStateHandler), which authenticate but do not authorize access. On an ArcadeDB HA cluster (only reachable when arcadedb.ha.enabled is set and the ha-raft module is loaded), any authenticated user — including one granted access to only one database or none — can enumerate the full server database registry and retrieve per-database metadata such as database names, last transaction IDs, bootstrap fingerprints, and peer/leader cluster topology, resulting in cross-database information disclosure. Fixed in 26.8.1.