CVE-2026-44221: ArcadeDB: bypass de autorização entre bancos de dados (CWE-863)
As versões do ArcadeDB a partir de 21.10.1 e anteriores à 26.4.2 contêm dois defeitos de autorização que permitem a um principal autenticado, inclusive a um token limitado a um único banco, acessar outros bancos no mesmo servidor. O registro classifica o problema como crítico, com pontuação CVSS 3.1 de 9.0, e informa que ele foi corrigido na versão 26.4.2. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.
Visão geral
O ArcadeDB é um sistema de gerenciamento de banco de dados multimodelo. Segundo o registro disponível, dois defeitos independentes se combinaram para permitir que um usuário autenticado, ou um token de API limitado a um único banco, lesse, gravasse e alterasse o esquema de outros bancos no mesmo servidor. A fraqueza é classificada como CWE-863 (Autorização Incorreta).
O primeiro defeito envolve a inicialização do objeto de usuário de banco usado nas verificações de acesso a arquivos. O segundo envolve bancos criados pela API do servidor, que, segundo o registro, eram criados sem a configuração de segurança em nível de registro.
Impacto
- Principais restritos a um único banco podem alcançar outros bancos do mesmo servidor.
- Segundo o registro, a autorização em nível de registro e em nível de banco pode ser contornada por qualquer principal autenticado.
- A pontuação base CVSS 3.1 é 9.0 (Crítica), com o vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H, que indica alto impacto na confidencialidade, integridade e disponibilidade, além de mudança de escopo.
Produtos e versões afetados
- Produto: ArcadeData Arcadedb.
- Faixa afetada: da versão 21.10.1 em diante e anteriores à 26.4.2.
- O registro informa que a vulnerabilidade foi corrigida na versão 26.4.2. O campo de correções do registro está vazio, o que apenas indica que nenhuma entrada estruturada de correção foi anexada; não significa que não exista correção.
Status de exploração
A CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. Os campos SSVC do registro indicam exploração como nenhuma e automatizável como não. A probabilidade EPSS é 0,00429, com percentil de 0,35411. Não há exploração confirmada nas fontes consultadas.
Correção e mitigação
- Atualize o ArcadeDB para a versão 26.4.2 ou uma versão posterior, conforme informado no registro.
- Como o defeito afetou bancos criados pela API do servidor, revise os bancos criados em servidores que executaram uma versão vulnerável e verifique suas configurações de controle de acesso após a atualização.
- Revise contas e tokens de API limitados a um único banco e confirme que não conseguem ler ou alterar outros bancos.
- O registro não descreve medidas alternativas. Qualquer medida provisória deve ser validada com o aviso do mantenedor antes de ser adotada.
Orientações de detecção
- Analise os logs de autenticação e de acesso em busca de contas ou tokens restritos a um banco que tenham atividade em outros bancos do mesmo servidor.
- Compare alterações de esquema e de dados entre bancos, procurando modificações inesperadas feitas por principais restritos a um único banco.
- Monte um inventário dos bancos criados pela interface administrativa do servidor e verifique se suas configurações de autorização são compatíveis com o restante do ambiente.
Limitações das informações disponíveis
- O registro não inclui uma análise detalhada de exploração redigida pelo fornecedor, e nenhum detalhe de prova de conceito é fornecido aqui.
- O conteúdo dos commits referenciados não foi revisado nesta análise; eles aparecem apenas como referências.
- O registro não traz informações sobre medidas alternativas nem uma lista explícita de versões corrigidas além da 26.4.2.
- A data do EPSS no registro (2026-10-13) foi considerada como informada.
- Não é possível determinar, a partir do registro, se outras ramificações do ArcadeDB receberam correções retroportadas.
Perguntas frequentes
Quais versões do ArcadeDB são afetadas pela CVE-2026-44221?
Segundo o registro, são afetadas as versões a partir de 21.10.1 e anteriores à 26.4.2.
Existe correção para a CVE-2026-44221?
O registro informa que a vulnerabilidade foi corrigida na versão 26.4.2. Atualizar para essa versão ou superior é a principal medida de correção.
A CVE-2026-44221 é conhecidamente explorada ativamente?
A CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.