CVE-2026-93596 in ArcadeDB
要約
〜によって VulDB • 2026年09月18日
ArcadeDB 26.9.1（com.arcadedb:arcadedb-engine <= 26.8.1）より前のバージョンでは、POST /api/v1/batch/{database} の並列エッジ接続フェーズで使用される DatabaseAsyncTransaction の非同期ワスレッドに対して認証済みプリンシパルがバインドされません。これらのワーカーには現在のユーザーが存在しないため、LocalDatabase.checkPermissionsOnFile は早期に終了し書き込みを許可し、タイプごとの CREATE_RECORD/UPDATE_RECORD ACL 強制処理をバイパスします。タイプ別またはグループ別の ACL に依存するデプロイメントでは、エッジ型 E で CREATE_RECORD の権限を持ちつつ、頂点型 V で CREATE_RECORD/UPDATE_RECORD が取り消されている低特権認証ユーザーが、parallelFlush を既定値の true に設定したグラフのエッジ一括読み込みリクエストを送信し、V の <V>_out_edges/<V>_in_edges バケットにレコードを書き込むことで保護された頂点型 V に対してエッジを永続的に追加でき、これによりグラフの隣接関係が不正に変更されます。parallelFlush=false を設定すると、リクエストは正しく拒否されます。これは GHSA-c23x-pqcj-7hfm の不完全な修正であり、同修正ではプリンシパルが HTTP ハンドラスレッドにのみバインドされていました。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.