CVE-2026-93596
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
ArcadeDB przed wersją 26.9.1 (com.arcadedb:arcadedb-engine <= 26.8.1) nie może powiązać uwierzytelnionego podmiotu zabezpieczeń z asynchronicznymi wątkami roboczymi DatabaseAsyncTransaction używanymi przez fazę równoległego łączenia brzegowego testu POST /api/v1/batch/{database}. Ponieważ ci pracownicy nie mają bieżącego użytkownika, LocalDatabase.checkPermissionsOnFile powraca wcześniej i umożliwia zapis z pominięciem wymuszania listy ACL CREATE_RECORD/UPDATE_RECORD dla poszczególnych typów. We wdrożeniach, które opierają się na listach ACL dla poszczególnych typów lub grup, uwierzytelniony użytkownik o niskich uprawnieniach, posiadający CREATE_RECORD na krawędzi typu E, ale z CREATE_RECORD/UPDATE_RECORD odwołany na wierzchołku typu V, może przesłać żądanie wsadowe ładowania wykresu (z parametrem ParaleFlush o domyślnej wartości true) i trwale dołączyć krawędzie do chronionych wierzchołków typu V, zapisując rekordy w listach V segmenty <V>_out_edges/<V>_in_edges, co skutkuje nieautoryzowaną modyfikacją przylegania wykresów. Ustawienie ParaleFlush=false powoduje, że żądanie zostanie poprawnie odrzucone. Jest to niekompletna poprawka GHSA-c23x-pqcj-7hfm, która ograniczała podmiot zabezpieczeń tylko w wątku obsługi HTTP.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org