CVE-2026-75855

总结

# ArcadeDB 任意文件写入与删除漏洞 ArcadeDB 26.8.1 之前的版本未能在 POST /api/v1/server 端点的 create database 和 drop database 命令中对数据库名称进行清理，导致已认证的 root 用户能够在配置的数据库目录之外写入和删除任意文件。攻击者可提供包含 ../ 序列的数据库名称，在任意文件系统路径下创建数据库，或递归删除服务器进程可访问的目录。

• CVE-2026-75855PoC

  CVE-2026-75855 的概念验证，这是 ArcadeDB 的 create/drop 数据库命令中的一个路径遍历漏洞，允许在配置目录之外进行任意文件写入和删除。