Os conjuntos de execução do ScriptTrigger permitem que os pacotes sejam java.lang.*, java.util.*, java.time.*, java.math.* (ScriptTriggerExecutor.java: 56 ); criação do gatilho é portado apenas na UPDATE_SCHEMA (LocalSchema.createTrigger: 636 ). Permitir a busca por classe host do java.lang.* permite que um script de gatilho faça Java.type("java.lang.Runtime").getRuntime(.exec(...) (ou ProcessBuilder). A nedlist de reflexão não bloqueia as buscas por host Java.type e permite que o CreateProcess(false) apenas restrinja a API do processo convidado do GraalVM, e não um Host Runtime.exec alcançado através do HostAccess. ALL. Exploit: um usuário com UPDATE_SCHEMA (admin de esquema, estritamente menos do que o administrador de segurança) executa CREATE TRIGGER... EXECUTE JAVASCRIPT ' ' e obtenha o OS RCE quando o gatilho dispara. Correção: remover java.lang.* (e estreitar o resto) da lista de ativadores; se for necessário interop host, expor uma superfície de API @HostAccess.Exportar em vez de pacotes inteiros; considere a criação do gating gatilho na UPDATE_ SECURITY. Prefere uma lista de allow- list (HostAccess.EXPLICIT) sobre a atual lista de negação- sobre-HostAccess. ALL.
Itens médios/baixos relacionados a dobrar na correção: IMPORTAR A BASE DE DATAS SSRF através de revalidação não seguida (SourceDiscovery.java: 113 ), BASE DE DADOS DE VOLUME/EXPORTAÇÃO de autorização faltante (BackupDatabaseStatement.java: 56, Exportar o Estado de Base de Dados.java: 52 ), transferência de tamanho corpo em pedaços DoS bypass (HttpServer.java: 301,318 - 333 ), e nenhum bloqueio de força bruta na auth senha (ServerSecurity.java: 189 - 205 ). Registro de aconselhamento: GHSA-x 9 f 9 - r 4 m 8 - 9 xc 2. Não há nenhum identificador adicional listado.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 16 T 20: 15: 36.000 Z e lista a sua última modificação como 2026 - 07 - 16 T 20: 15: 36.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/África do Sul:N.
Software afetado e informação de versão: pacote Maven com.arcadedb:arcadedb- engine — ECOSYSTEM: introduzido 0, corrigido 26.7.2. Classificação e evidência: identificadores de fraqueza CWE- 78. O registro contém 3 suporte de referências nestes tipos: WEB, PACKAGE.