CVE-2026-59093

1.38.0 öncesindeki Weaviate, bir RBAC rol ataması gerçekleştiren asilin, atanan rol tarafından verilen izinlere sahip olduğunu doğrulamamaktadır. assignRoleToUser ve assignRoleToGroup işleyicileri (POST /authz/users/{id}/assign ve /authz/groups/{id}/assign), kullanıcının yalnızca hedef kullanıcıya veya gruba rol atayabileceğini yetkilendirir; ancak rol oluşturmanın aksine, atanan rollerdeki izinleri yetkilendirmez (rol oluşturma işlemi, bir kullanıcının yalnızca kendi izinlerine eşit veya daha düşük izinlere sahip roller oluşturabilmesini zorunlu kılar). Yalnızca devredilmiş assign_and_revoke_users veya assign_and_revoke_groups iznine sahip olan bir kullanıcı, yerleşik admin rolünü veya herhangi bir yüksek ayrıcalıklı özel rolü kendisine veya başkalarına atayarak veritabanı üzerinde tam yönetici kontrolüne erişebilir ve yetki yükseltebilir.