CVE-2026-93594

ArcadeDB (Maven artefaktı com.arcadedb:arcadedb-engine) 26.8.1 versiyasına qədər olan versiyalarda tip üzrə/qeyd üzrə giriş kontrol qaydalarını yalnız fayl ID-sinə əsaslanan LocalBucket-də tətbiq edir. Sorğu icra yolları LSM indeks faylları və ya TimeSeries mühərriki vasitəsilə qeyd məlumatlarına çatdıqda həmin icazə yoxlamasını heç vaxt çağırmır. Buna görə də, müəyyən bir tip üçün readRecord/deleteRecord icazəsi olmayan autentifikasiya olunmuş istifadəçi, adi bir SQL ifadəsi ilə həmin tipin indekslənmiş açar dəyərlərini və qeyd ID-lərini oxuya (məsələn, SELECT key, rid FROM INDEX:Type[field]), indeks qısayolu vasitəsilə MAX/MIN dəyərlərini oxuya, TimeSeries nümunələrini oxuyub saya bilər, tipin qeyd sayını öyrənə və indeks yazılarını silə bilər (DELETE FROM INDEX:Type[field]); bu isə indeksi məlumatlardan sinxronsuzlaşdırır və unikal məhdudiyyətləri (unique constraints) sıradan çıxara bilər. Eksploatasiya üçün tələb olunan indeks və tip adları aşkar edilə biləndir, çünki SELECT FROM schema:indexes sorğusu filtrlənmir. Problem həm gömülü (embedded), həm də server yerləşdirmələrinə və prinsipal bağlanmış bütün nəqliyyat protokollarına (HTTP, Bolt, Postgres, Gremlin) təsir edir. 26.9.1 versiyasında düzəldilib.