CVE-2026-55866

SpiceDB təhlükəsizlik baxımından kritik tətbiq icazələrinin yaradılması və idarə edilməsi üçün açıq mənbəli verilənlər bazası sistemidir. 1.34.0 versiyasından 1.54.0 versiyasına qədər olan müddətdə SpiceDB, internal/dispatch/keys/computed.go faylındakı checkRequestToKey() və checkRequestToKeyWithCanonical() funksiyaları dispatch Check keş açarlarını konstruksiya edərkən CheckHints hissəsini ötürdüyü üçün PERMISSIONSHIP_CONDITIONAL_PERMISSION və ya PERMISSIONSHIP_NO_PERMISSION əvəzinə PERMISSIONSHIP_HAS_PERMISSION qaytara bilər. Yanlış nəticənin yaranması üçün kəsişmə və ya istisna ilə münasibətləri birləşdirən bir icazənin, həm şərtli (caveated), həm də şərtləri olmayan budaqlar vasitəsilə əlçatan olan bir subyektin, eyni resurs və subyekt üçün CheckPermission və ya CheckBulkPermissions ilə eyni vaxtda işləyən kontekst parametri olan LookupResources-un və aktiv edilmiş dispatch nəticə keşinin olması tələb olunur. Bu şərtlər altında, bir hint dəsti üçün hesablanmış nəticə, semantik cəhətdən fərqli olan avtorizasiya yoxlaması tərəfindən istifadə edilən keş yazısını korluda bilər ki, bu da şərtləri yerinə yetirmədən icazənin verilməsinə səbəb olar. Bu problem 1.54.0 versiyasında düzəldilmişdir.