CVE-2026-93596

26.9.1 versiyasından əvvəlki ArcadeDB (com.arcadedb:arcadedb-engine <= 26.8.1), POST /api/v1/batch/{database} sorğusunun paralel kantar-bağlantı (edge-connect) mərhələsində istifadə olunan DatabaseAsyncTransaction asinxron işçi axınlarına autentifikasiya olunmuş prinsipalı bağlamağı təmin etmir. Bu işçilərin cari istifadəçisi olmadığı üçün LocalDatabase.checkPermissionsOnFile funksiyası vaxtından əvvəl geri dönür və yazma əməliyyatına icazə verir ki, bu da tip üzrə tətbiq edilən CREATE_RECORD/UPDATE_RECORD ACL məhdudiyyətlərinin yan keçilməsinə səbəb olur. Tip və ya qrup üzrə ACL-lərə əsaslanan tətbiqlərdə, kantar tipi E üzrə CREATE_RECORD hüququna malik olan, lakin vertex tipi V üzrə CREATE_RECORD/UPDATE_RECORD hüquqları ləğv edilmiş autentifikasiya olunmuş aşağı imtiyazlı istifadəçi, qraf kantar-yükləmə toplu sorğusu göndərə bilər (parallelFlush parametrinin standart dəyəri true olduqda) və V-nin <V>_out_edges/<V>_in_edges kovalarıyla yazıların yerləşdirilməsi yolu ilə V tipindəki qorunan vertekslərə kantarlar əlavə edə bilər; bu isə qraf bitişikliyin icazəsiz dəyişdirilməsi ilə nəticələnir. parallelFlush=false təyin edildikdə sorğu düzgün şəkildə rədd edilir. Bu, prinsipalı yalnız HTTP handler axınına bağlayan GHSA-c23x-pqcj-7hfm boşluğunun natamam həllidir.