CVE-2026-93596 in ArcadeDB
Sumário
de VulDB • 18/09/2026
ArcadeDB antes da versão 26.9.1 (com.arcadedb:arcadedb-engine <= 26.8.1) falha em vincular o princípio autenticado aos threads de trabalho assíncronos do DatabaseAsyncTransaction, utilizados pela fase paralela de conexão de arestas durante a requisição POST /api/v1/batch/{database}. Como esses workers não possuem um usuário atual, LocalDatabase.checkPermissionsOnFile retorna antecipadamente e permite a gravação, contornando a aplicação das ACLs per-type CREATE_RECORD/UPDATE_RECORD. Em implantações que dependem de ACLs por tipo ou por grupo, um usuário autenticado com privilégios baixos, que possui permissão CREATE_RECORD em um tipo de aresta E, mas tem as permissões CREATE_RECORD e UPDATE_RECORD revogadas para um tipo de vértice V, pode enviar uma requisição de lote de carregamento de arestas do grafo (com parallelFlush no seu valor padrão true) e anexar duravelmente arestas a vértices protegidos do tipo V ao gravar registros nos buckets <V>_out_edges/<V>_in_edges de V, resultando em modificação não autorizada da adjacência do grafo. Definir parallelFlush=false faz com que a requisição seja corretamente rejeitada. Esta é uma correção incompleta para GHSA-c23x-pqcj-7hfm, que vinculava o princípio apenas ao thread do manipulador HTTP.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.