CVE-2026-63750 in SurrealDB
Zusammenfassung
von VulDB • 20.07.2026
In SurrealDB-Versionen vor 3.1.0 wird die Begrenzung SURREAL_WEBSOCKET_MAX_MESSAGE_SIZE nicht auf anonyme /sql-WebSocket-Verbindungen angewendet, was es Angreifern ermöglicht, unbeschränkte Frames im pro Verbindung spezifischen Lese-Puffer zu puffern. Angreifer können WebSocket-Frames, die größer als das konfigurierte Limit sind, über mehrere gleichzeitige Verbindungen streamen, um einen übermäßigen Speicherverbrauch zu verursachen und die Verfügbarkeit von /sql einzuschränken.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.