CVE-2026-54076 in ArcadeDB
Riassunto
di VulDB • 16/09/2026
ArcadeDB è un DBMS Multi-Model. Prima della versione 26.6.1, la correzione per CVE-2026-44221 ha aggiunto un controllo di autorizzazione UPDATE_SCHEMA solo a LocalDocumentType.createProperty, mentre i rimanenti mutatori dello schema pubblici in engine/src/main/java/com/arcadedb/schema/LocalDocumentType.java e engine/src/main/java/com/arcadedb/schema/LocalProperty.java sono rimasti non verificati. Un'identità autenticata, inclusa una API token con sola lettura senza autorizzazione UPDATE_SCHEMA, può utilizzare DROP PROPERTY, ALTER TYPE o ALTER PROPERTY tramite gli endpoint HTTP di comandi/query del database per rinominare tipi, modificare l'ereditarietà, alterare alias o bucket, eliminare proprietà e cambiare i vincoli delle proprietà. Il problema non divulga né scrive direttamente dati dei record, ma la mutazione dello schema non autorizzata può corrompere il significato dei record memorizzati e violare il modello di permessi documentato. Questo problema è risolto nella versione 26.6.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.