CVE-2026-44221

ArcadeDB bir Çoklu Model DBMS'dir. Versiyon 21.10.1 ile başlayıp versiyon 26.4.2 öncesine kadar olan sürümlerde, kimliği doğrulanmış kullanıcılar ve belirli bir veritabanı ile sınırlandırılmış API token'ları, aynı sunucudaki diğer tüm veritabanlarında şemayı okuyabilir, yazabilir ve değiştirebilirdi. Buna iki farklı kusur neden olmuştur: (1) ServerSecurityUser.getDatabaseUser(), başlatılmamış bir fileAccessMap içeren bir DB kullanıcısı döndürmüş ve requestAccessOnFile bunu "her şeye izin ver" şeklinde işlemiştir; (2) ArcadeDBServer.createDatabase(), factory.setSecurity(...) kısmını atlamıştır, bu nedenle POST /api/v1/server {"command":"create database X"} aracılığıyla oluşturulan herhangi bir veritabanının kayıt düzeyindeki yetkilendirme sisteminin tamamı sessizce devre dışı kalmıştır. Kombinasyon halinde, kayıt düzeyi ve veritabanı düzeyi yetkilendirme, kimliği doğrulanmış herhangi bir ana özne tarafından atlatılabilir. Bu güvenlik açığı 26.4.2 sürümünde giderilmiştir.