CVE-2026-93594 in ArcadeDB
요약
\~에 의해 VulDB • 2026. 09. 18.
ArcadeDB(Maven 아티팩트 com.arcadedb:arcadedb-engine)의 26.8.1 버전까지는 per-type/per-record 접근 제어 규칙이 파일 ID를 키로 사용하는 LocalBucket에서만 적용됩니다. LSM 인덱스 파일이나 TimeSeries 엔진을 통해 레코드 데이터에 도달하는 쿼리 실행 경로는 해당 권한 검사를 호출하지 않으므로, 읽기(readRecord) 또는 삭제(deleteRecord)가 거부된 인증된 사용자는 단일 일반 SQL 문으로 형식의 인덱싱된 키 값과 레코드 ID(예: SELECT key, rid FROM INDEX:Type[field])를 읽고, 인덱스 단축 경로를 통해 MAX/MIN 값을 읽고, TimeSeries 샘플을 읽으며 개수를 세고, 형식의 레코드 수를 파악하며, 인덱스 항목을 삭제할 수 있습니다(DELETE FROM INDEX:Type[field]). 이는 인덱스를 데이터와 비동기화시키고 고유 제약 조건을 무력화시킬 수 있습니다. 악용에 필요한 인덱스와 형식 이름은 SELECT FROM schema:indexes가 필터링되지 않아 발견 가능합니다. 이 문제는 임베디드 및 서버 배포 모두, 그리고 주체가 바인딩된 후 HTTP, Bolt, Postgres, Gremlin 등 모든 전송 프로토콜에서 영향을 받습니다. 26.9.1에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.