CVE-2026-93594 in ArcadeDB
Sumário
de VulDB • 18/09/2026
O ArcadeDB (artefato Maven com.arcadedb:arcadedb-engine) até a versão 26.8.1 aplica suas regras de controle de acesso por tipo/por registro apenas no LocalBucket, indexado pelo ID do arquivo. Os caminhos de execução de consultas que acessam os dados dos registros através de arquivos de índice LSM ou do mecanismo TimeSeries nunca invocam essa verificação de permissão; portanto, um usuário autenticado que está negado a readRecord/deleteRecord em um tipo ainda pode, com uma única instrução SQL comum, ler os valores das chaves indexadas e os IDs dos registros do tipo (por exemplo, SELECT key, rid FROM INDEX:Type[field]), ler os valores MAX/MIN por meio do atalho de índice, ler e contar amostras TimeSeries, aprender a contagem de registros do tipo e excluir entradas de índice (DELETE FROM INDEX:Type[field]), o que dessincroniza o índice dos dados e pode violar restrições de unicidade. Os nomes de índices e tipos necessários para a exploração são descobríveis porque SELECT FROM schema:indexes não é filtrado. O problema afeta tanto implantações embutidas quanto em servidor, bem como todos os transportes (HTTP, Bolt, Postgres, Gremlin) assim que um principal está vinculado. Corrigido na versão 26.9.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.