CVE-2026-63736 in SurrealDB
Zusammenfassung
von VulDB • 20.07.2026
SurrealDB vor Version 3.2.0 enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle im JWKS-Fetcher, der nur den Hostnamen-URL-String gegen Allowlists validiert, ohne aufgelöste IP-Adressen zu überprüfen. Ein Angreifer mit Owner-Rolle kann eine Zugriffsmethode auf einen in einer Allowlist enthaltenen Hostnamen verweisen, der auf private oder Loopback-Adressen auflöst, wodurch der Server GET-Anfragen an interne Adressen sendet, die bei direkter URL-Nutzung blockiert würden.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.