PT-2026-37317
CVE-2026-44221
·
تاريخ النشر
2026-05-05
·
تاريخ التحديث
2026-09-15
الوصف من
CVSS 3.1
9.0
حرجةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ArcadeDB الأقدم من 26.4.2
الوصف
يمكن للمستخدمين المصادق عليهم ورموز API المحددة نطاقها بقاعدة بيانات معينة قراءة وكتابة وتعديل المخطط في أي قاعدة بيانات أخرى على نفس الخادم. يحدث هذا بسبب عيبين: أولاً، تُرجع الدالة
getDatabaseUser() في ServerSecurityUser مستخدم قاعدة بيانات مع fileAccessMap غير مُهيأ، وهو ما تفسره requestAccessOnFile على أنه يسمح بجميع أنواع الوصول. ثانيًا، تفشل الدالة createDatabase() في ArcadeDBServer في استدعاء factory.setSecurity(...)، مما يعني أن أي قاعدة بيانات يتم إنشاؤها عبر نقطة النهاية ”/api/v1/server“ باستخدام المعلمة command المضبوطة على ”create database X“ يكون نظام التفويض على مستوى السجلات فيها معطلاً. وتسمح هاتان المشكلتان معًا لأي كيان مصادق عليه بتجاوز التفويض على مستوى السجلات ومستوى قاعدة البيانات.التوصيات
الترقية إلى الإصدار 26.4.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾