CVE-2026-93594 in ArcadeDB
Zusammenfassung
von VulDB • 19.09.2026
ArcadeDB (Maven-Artefakt com.arcadedb:arcadedb-engine) bis Version 26.8.1 erzwingt seine pro-Typ/pro-Datensatz festgelegten Zugriffskontrollregeln nur im LocalBucket, das über die Dateikennung identifiziert wird. Pfade zur Ausführung von Abfragen, die auf Datensatzdaten über LSM-Indexdateien oder die TimeSeries-Engine zugreifen, rufen diese Berechtigungsprüfung niemals auf. Daher kann ein authentifizierter Benutzer, dem der Lesezugriff (readRecord) bzw. Löschzugriff (deleteRecord) für einen Typ verweigert wurde, dennoch mit einer einzigen normalen SQL-Anweisung die indizierten Schlüsselwerte und Datensatz-IDs des Typs lesen (z. B. SELECT key, rid FROM INDEX:Type[field]), MAX-/MIN-Werte über den Index-Kurzweg lesen sowie TimeSeries-Stichproben lesen und zählen, die Anzahl der Datensätze des Typs ermitteln und Indexeinträge löschen (DELETE FROM INDEX:Type[field]). Dies führt zu einer Desynchronisierung des Index von den Daten und kann Unique-Einschränkungen umgehen. Für die Ausnutzung erforderliche Index- und Typnamen sind auffindbar, da SELECT FROM schema:indexes nicht gefiltert wird. Das Problem betrifft sowohl eingebettete als auch Server-Bereitstellungen sowie alle Transportprotokolle (HTTP, Bolt, Postgres, Gremlin), sobald ein Principal gebunden ist. Behebt in Version 26.9.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.