CVE-2026-49989 in CrateDB
الملخص
بحسب VulDB • 14/08/2026
CrateDB هو قاعدة بيانات SQL موزعة. قبل الإصدارين 6.2.8 و6.3.2، يمكن لأي مستخدم مُصادَق عليه قراءة أو حذف أي كائن ثنائي (blob) إذا كان يعرف تجزئة SHA-1 الخاصة به، وزراعة كائنات جديدة بشكل غير مشروط في أي جدول للكائنات الثنائية، بغض النظر عن أذونات `GRANT`. يوفر CrateDB طريقتين للوصول إلى تخزين الكائنات الثنائية: عبر SQL (`SELECT ... FROM blob.<table>` وما شابه) وواجهة برمجة التطبيقات HTTP الخاصة بالكائنات الثنائية (`GET|PUT/DELETE /_blobs/{table}/{digest}`). تمر مسار SQL من خلال `AccessControl`، وهو المسؤول عن فرض منح الامتيازات؛ ولهذا السبب يفشل الأمر `SELECT digest FROM blob.secret_blobs` بالنسبة للمستخدم الذي لا يمتلك أي امتيازات على الجدول. بينما يقوم مسار HTTP بالمصادقة على الطلب لكنه لا يستفسر أبدًا عبر `AccessControl` عما إذا كان المستخدم المُصادَق عليه مسموح له بالوصول إلى الجدول. وبالتالي، يحصل المستخدم الذي لا يملك امتيازات على استثناء `MissingPrivilegeException` عند استخدام SQL، ويستقبل رد `200 OK` بالإضافة إلى بيانات الكائن الثنائي عند تنفيذ الأمر `GET /_blobs/secret_blobs/<digest>`. لا تتأثر التوزيعات التي لا تستخدم `BLOB TABLE`. تعمل المصادقة نفسها بشكل صحيح؛ والخلل يكمن تحديدًا في اعتبار مجرد كون المستخدم مُصادَق عليه (بصفتة أي شخص) كافيًا لإجراء أي عملية على الكائنات الثنائية. تصحّح الإصدارات 6.2.8 و6.3.2 هذه المشكلة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.