Veille sécuritéBackend & données
P4Moyenne
Dans ArcadeDB, un utilisateur disposant uniquement du droit readRecord pouvait remplacer le schéma GraphQL partagé via un point d’accès de requête présenté comme en lecture seule. Le changement pouvait modifier les résultats visibles par d’autres utilisateurs ; mettre à jour vers 26.10.2.
GraphQL
IdentifiantCVE-2026-119576
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif26.10.2
Source : NVD — CVE-2026-119576
Analyse technique
L’altération du schéma était possible par l’endpoint /api/v1/query/{database}, au moyen d’une définition de type GraphQL comportant une directive @sql construite à cet effet.
Impact, versions et correctif
Événement datéLa publication NVD du candidat est datée du 2026-10-30T14:16:46.867Z, soit le 2026-10-30T16:16:46.867+02:00, dans la période. La modification NVD associée ne constitue pas un item distinct.
ImpactUn utilisateur disposant de droits de lecture pouvait modifier le schéma GraphQL partagé et altérer les résultats présentés aux autres utilisateurs.
Versions affectées>= 21.12.1, < 26.10.2
Version corrigée26.10.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-30T16:16:46.867+02:00
Action recommandée
Mettre à jour ArcadeDB vers la version 26.10.2 ou une version corrigée applicable.
Sources
Priorisation DFS : P4 · 1 source(s).