Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
🆕 Nuevo en 2MCI
✨ Crear cuenta gratis 🛠️ Ver herramientas sin registro
Ya tengo cuenta
🔒 Iniciar sesión
Equipo
🏠 Portal interno 2MCI
Inicio/ Alertas/ Vulnerabilidad
Crítico CVE-2026-75843 Multiple Vendors

Vulnerabilidad crítica en ArcadeDB <26.8.1 permite ejecución de código JavaScript sin autorización

Vulnerabilidad · Publicado 18/08/2026

9.9
CVSS 3.x
04 Medio7 Alto9 Crítico10
Severidad: Crítico
Resumen ejecutivo

ArcadeDB anterior a la versión 26.8.1 no vincula correctamente el principal autenticado en el executor de transacciones gRPC, permitiendo a usuarios autenticados ejecutar comandos JavaScript sin validación de permisos. Los atacantes pueden crear cuentas administrador a nivel servidor explotando la ejecución no restringida de comandos, comprometiendo completamente la confidencialidad e integridad de bases de datos en infraestructuras críticas de LATAM.

Análisis asistido por IA, contexto LATAM revisado por el equipo 2MCI.

Descripción técnica

Descripción técnica

ArcadeDB before 26.8.1 fails to bind the authenticated principal on the gRPC transaction executor thread in beginTransaction, allowing authenticated readers to execute JavaScript commands without scripting authorization checks. Attackers can execute executeCommand with a transaction ID to run unrestricted JavaScript that creates server-wide administrator accounts.

Puntuación CVSS

Score: 9.9/10 — Severidad: CRITICAL — Estado NIST: Received

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Debilidades (CWE)

CWE-269

Fuente oficial

Publicado en NIST NVD.

¿Qué hacer?
  • Actualizar ArcadeDB a versión 26.8.1 o superior en todos los servidores expuestos
  • Auditar logs de transacciones gRPC para detectar ejecución sospechosa de comandos JavaScript
  • Restringir acceso de lectura autenticada a roles mínimos requeridos
  • Validar cambios recientes en cuentas administrador
  • En entornos de producción sin actualización inmediata, implementar filtros de red que limiten acceso a puertos gRPC

Fuentes originales

⬤ NIST NVD ↗
cve-2026-75843 nvd critico vulnerabilidad cwe-269
Esta alerta fue generada automáticamente a partir del NVD del NIST.
← Volver a todas las alertas