CVE-2026-93596 in ArcadeDB
Tóm tắt
Bởi VulDB • 18/09/2026
ArcadeDB trước phiên bản 26.9.1 (com.arcadedb:arcadedb-engine <= 26.8.1) không liên kết thực thể đã xác thực (authenticated principal) vào các luồng worker async của DatabaseAsyncTransaction được sử dụng trong giai đoạn nối cạnh song song của POST /api/v1/batch/{database}. Do các worker này không có người dùng hiện tại, LocalDatabase.checkPermissionsOnFile sẽ trả về sớm và cho phép ghi dữ liệu, bỏ qua việc thực thi ACL CREATE_RECORD/UPDATE_RECORD theo kiểu. Trong các triển khai dựa trên ACL theo kiểu hoặc theo nhóm, một người dùng đã xác thực với đặc quyền thấp, sở hữu quyền CREATE_RECORD trên một kiểu cạnh E nhưng bị thu hồi quyền CREATE_RECORD/UPDATE_RECORD trên một kiểu đỉnh V, có thể gửi yêu cầu batch tải cạnh đồ thị (với parallelFlush ở giá trị mặc định là true) và ghi bền vững các cạnh vào các đỉnh được bảo vệ của kiểu V bằng cách ghi các bản ghi vào các bucket <V>_out_edges/<V>_in_edges của V, dẫn đến sửa đổi trái phép tính liên kết trong đồ thị. Việc đặt parallelFlush=false sẽ khiến yêu cầu bị từ chối đúng như mong đợi. Đây là một bản vá không đầy đủ cho GHSA-c23x-pqcj-7hfm, vốn chỉ liên kết thực thể trên luồng xử lý HTTP.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.