CVE-2026-59093

Weaviate 1.38.0-dən əvvəl RBAC rol təyinatı həyata keçirən subyektin təyin edilmiş rolun verdiyi icazələrə malik olduğunu yoxlamır. assignRoleToUser və assignRoleToGroup handler-ləri (POST /authz/users/{id}/assign və /authz/groups/{id}/assign) yalnız çağıranın hədəf istifadəçiyə və ya qrupa rol təyin edə bilməsini avtorizasiya edir, təyin edilmiş rollarda olan icazələri yox, rol yaradılmasından fərqli olaraq, hansı ki istifadəçinin yalnız öz icazələrindən az və ya bərabər icazələri olan rollar yarada bilməsini tətbiq edir. Yalnız delegasiya edilmiş assign_and_revoke_users və ya assign_and_revoke_groups icazəsinə malik istifadəçi daxili admin rolunu və ya hər hansı yüksək imtiyazlı fərdi rolu özünə və ya başqalarına təyin edərək verilənlər bazasına tam inzibati nəzarətə qədər imtiyazların yüksəldilməsini həyata keçirə bilər.