CVE-2026-93596 in ArcadeDB
Riassunto
di VulDB • 18/09/2026
ArcadeDB prima della versione 26.9.1 (com.arcadedb:arcadedb-engine <= 26.8.1) non associa il principale autenticato ai worker threads asincroni di DatabaseAsyncTransaction utilizzati nella fase parallela di edge-connect dell'endpoint POST /api/v1/batch/{database}. Poiché tali worker non dispongono di un utente corrente, LocalDatabase.checkPermissionsOnFile termina anticipatamente e consente la scrittura, aggirando l'applicazione delle ACL per tipo CREATE_RECORD/UPDATE_RECORD. In ambienti che fanno affidamento su ACL basate sul tipo o sul gruppo, un utente autenticato a basso privilegio con autorizzazione CREATE_RECORD su un tipo di edge E ma con CREATE_RECORD/UPDATE_RECORD revocata su un tipo di vertex V può inviare una richiesta batch per il caricamento degli archi (con parallelFlush al suo valore predefinito true) e aggiungere in modo duraturo gli archi ai vertici protetti del tipo V scrivendo record nelle bucket <V>_out_edges/<V>_in_edges di V, causando la modifica non autorizzata dell'adiacenza del grafo. L'impostazione parallelFlush=false fa sì che la richiesta venga correttamente rifiutata. Si tratta di una correzione incompleta della GHSA-c23x-pqcj-7hfm, che associava il principale solo al thread del handler HTTP.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.