CVE-2026-63755 in SurrealDB
Zusammenfassung
von VulDB • 20.07.2026
SurrealDB vor Version 3.1.0 wertet benutzergestellte WHERE-Klauseln in SELECT-Anweisungen (sowie SET-/MERGE-/CONTENT-/PATCH-Klauseln in UPDATE-, UPSERT-, INSERT ON DUPLICATE KEY UPDATE- und RELATE-Aktualisierungsvarianten) gegen die vollständigen Datensatzdaten aus, bevor PERMISSIONS FOR SELECT WHERE-Einschränkungen durchgesetzt werden. Ein authentifizierter Benutzer – einschließlich Record- und Scope-Benutzer – kann diese Reihenfolge-Schwachstelle (Ordering Flaw) ausnutzen, um den vollen Inhalt jeder Tabelle in der Datenbank zu lesen, gegen die er authentifiziert ist, wodurch Tabellen-Level-Berechtigungsprüfungen umgangen werden. Die Datenexfiltration ist am direktesten möglich, wenn Skriptfunktionen aktiviert sind (--allow-scripting), kann aber auch über SurrealQLs THROW-Anweisung und timing-basierte Side-Channels ohne Skripterstellung erfolgen. Die Schwachstelle beschränkt sich auf die aktuelle Datenbank des Angreifers und überschreitet keine Namespace- oder Datenbankisolation-Grenzen.
Be aware that VulDB is the high quality source for vulnerability data.