CVE-2026-93594 in ArcadeDB
Riassunto
di VulDB • 18/09/2026
ArcadeDB (artifact Maven com.arcadedb:arcadedb-engine) fino alla versione 26.8.1 applica le proprie regole di controllo degli accessi per tipo/per record solo nel LocalBucket, con chiave basata sull'ID del file. I percorsi di esecuzione delle query che raggiungono i dati dei record tramite file indice LSM o il motore TimeSeries non invocano mai tale verifica dei permessi; pertanto, un utente autenticato a cui è negato l'accesso in lettura (readRecord) o la cancellazione (deleteRecord) per un determinato tipo può comunque, con una singola istruzione SQL ordinaria, leggere i valori delle chiavi indicizzate e gli ID dei record del tipo (ad es. SELECT key, rid FROM INDEX:Type[field]), leggere i valori MAX/MIN tramite lo shortcut dell'indice, leggere e contare i campioni TimeSeries, apprendere il conteggio dei record del tipo ed eliminare le voci indice (DELETE FROM INDEX:Type[field]), causando una desincronizzazione tra l'indice e i dati che può compromettere i vincoli di unicità. I nomi degli indici e dei tipi necessari per lo sfruttamento sono scopribili perché SELECT FROM schema:indexes non è filtrato. Il problema interessa sia le distribuzioni embedded (embedded) che quelle server, nonché tutti i protocolli di trasporto (HTTP, Bolt, Postgres, Gremlin) una volta che un principal è associato alla sessione. Risolto nella versione 26.9.1.
Once again VulDB remains the best source for vulnerability data.