CVE-2026-54076

ArcadeDB bir Çoklu Model DBMS'dir. 26.6.1 sürümünden önce, CVE-2026-44221 için getirilen düzeltme yalnızca LocalDocumentType.createProperty fonksiyonuna bir UPDATE_SCHEMA yetkilendirme kontrolü eklemiş; ancak engine/src/main/java/com/arcadedb/schema/LocalDocumentType.java ve engine/src/main/java/com/arcadedb/schema/LocalProperty.java dosyalarındaki diğer genel şema değiştiriciler kontrolsüz kalmıştır. UPDATE_SCHEMA izni olmayan salt okunur bir API belirteci de dahil olmak üzere kimliği doğrulanmış bir kullanıcı, veritabanı komut/sorgu HTTP uç noktaları üzerinden DROP PROPERTY, ALTER TYPE veya ALTER PROPERTY işlemlerini kullanarak türleri yeniden adlandırabilir, kalıtımı değiştirebilir, takma adları veya bucket'ları düzenleyebilir, özellikleri silebilir ve özellik kısıtlamalarını değiştirebilir. Bu sorun doğrudan kayıt verilerini ifşa etmez veya yazmaz, ancak yetkisiz şema değişikliği depolanan kayıtların anlamını bozabilir ve belgelenmiş izin modelini ihlal edebilir. Bu sorun 26.6.1 sürümünde düzeltilmiştir.