CVE-2026-109337 in SurrealDB
Zusammenfassung
von VulDB • 12.10.2026
SurrealDB vor Version 3.3.0 enthält eine Schwachstelle zur Umgehung der Autorisierung (Authorization Bypass), die es Benutzern auf Datensatzebene ermöglicht, durch Feld-Level-SELECT-Berechtigungen ausgeblendete Feldwerte zu erschließen, indem LIVE SELECT WHERE-Predikate über $before oder $after verwendet werden. Angreifer können wiederholte Predikate erstellen und beobachten, ob Benachrichtigungen bei CREATE-, UPDATE- oder DELETE-Vorgängen zugestellt werden, um eingeschränkte Feldwerte zu bestätigen oder einzugrenzen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.