CVE-2026-49989

Nome do Software Vulnerável e Versões Afetadas CrateDB versões anteriores a 6.2.8 CrateDB versões anteriores a 6.3.2

Description Existe uma falha de bypass de autorização na API HTTP de blobs do CrateDB. Enquanto o caminho SQL para acessar o armazenamento de blobs impõe corretamente as concessões de privilégios via AccessControl, o caminho HTTP apenas autentica a requisição sem verificar se o usuário autenticado possui as permissões necessárias para acessar a tabela específica. Consequentemente, qualquer usuário autenticado que conheça o digest SHA-1 de um blob pode lê-lo ou excluí-lo, e pode fazer upload de novos blobs para qualquer tabela de blob, independentemente das concessões atribuídas. Este problema está presente no componente io.crate.protocols.http.HttpBlobHandler, especificamente na função handleBlobRequest(), que falha ao realizar verificações de privilégios antes de executar operações de blob.

API Endpoints: GET|PUT|DELETE / blobs/{table}/{digest}

Recommendations Atualize o CrateDB para a versão 6.2.8 ou posterior. Atualize o CrateDB para a versão 6.3.2 ou posterior.