CVE-2026-93594 in ArcadeDB
الملخص
بحسب VulDB • 18/09/2026
تفرض ArcadeDB (المكون Maven com.arcadedb:arcadedb-engine) حتى الإصدار 26.8.1 قواعد التحكم في الوصول الخاصة بكل نوع/سجل فقط داخل LocalBucket، والمُعرَّفة بمعرف الملف. لا تستدعي مسارات تنفيذ الاستعلامات التي تصل إلى بيانات السجلات عبر ملفات فهرس LSM أو محرك TimeSeries فحص الأذونات هذا؛ وبالتالي، يمكن للمستخدم المصادق عليه الذي حُرِم من صلاحيتي readRecord وdeleteRecord على نوع معين، باستخدام جملة SQL عادية واحدة فقط، قراءة قيم المفاتيح المُفهرسة ومعرفات السجلات الخاصة بذلك النوع (مثل SELECT key, rid FROM INDEX:Type[field])، وقراءة القيم القصوى/الدنيا عبر اختصار الفهرس، واستعراض وعَد عينات TimeSeries، ومعرفة عدد سجلات النوع، وحذف إدخالات الفهرس (DELETE FROM INDEX:Type[field])؛ مما يؤدي إلى عدم مزامنة الفهرس مع البيانات وقد يتجاوز قيود التفرد. يمكن اكتشاف أسماء الفهارس والأنواع اللازمة للاستغلال لأن SELECT FROM schema:indexes غير مُفلتر. تؤثر المشكلة على كل من عمليات النشر المضمنة والخادمية، وجميع بروتوكولات النقل (HTTP, Bolt, Postgres, Gremlin) بمجرد ربط الكيان الرئيسي. تم الإصلاح في الإصدار 26.9.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.