CVE-2026-54076 in ArcadeDB
要約
〜によって VulDB • 2026年09月15日
ArcadeDBはマルチモデルDBMSです。バージョン26.6.1より前では、CVE-2026-44221の修正によりLocalDocumentType.createPropertyにのみUPDATE_SCHEMA権限チェックが追加されましたが、engine/src/main/java/com/arcadedb/schema/LocalDocumentType.javaおよびengine/src/main/java/com/arcadedb/schema/LocalProperty.java内の残りのパブリックスキーマ変更メソッドにはチェックが行われていませんでした。認証済みID（READ-ONLY APIトークンなどUPDATE_SCHEMA権限を持たないものを含む）は、データベースコマンド/クエリ用HTTPエンドポイントを通じてDROP PROPERTY、ALTER TYPE、または ALTER PROPERTYを使用し、型の改名、継承の変更、エイリアスやバケットの変更に伴うスキーマ変更、プロパティの削除、およびプロパティ制約の変更を行うことができます。この問題はレコードデータそのものを直接開示したり書き込んだりすることはありませんが、不正なスキーマ変更により保存されたレコードの意味が損なわれ、文書化された権限モデルに違反する可能性があります。本問題はバージョン26.6.1で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.