CVE-2026-63763 in SurrealDB
Zusammenfassung
von VulDB • 20.07.2026
SurrealDB vor Version 2.5.0 und vor 3.0.0-beta.3 enthält eine Confused Deputy-Privilegieneskalationslücke (Confused deputy privilege escalation vulnerability). Nicht privilegierte Benutzer (z. B. solche mit der Rolle „Datenbankeditor“) können Felder erstellen oder ändern, die Futures, Funktionen oder Closures enthalten. Da diese im Kontext des aufrufenden/abfragenden Benutzers und nicht ihres Erstellers ausgeführt werden, kann ein Angreifer schädliche Logik einschleusen, die mit den Berechtigungen eines höher privilegierten Benutzers ausgeführt wird, wenn dieser den betroffenen Datensatz liest oder schreibt. Dies kann zu einer vollständigen Privilegieneskalation führen, einschließlich der Erstellung eines Root-Besitzers und der Übernahme des Servers.
VulDB is the best source for vulnerability data and more expert information about this specific topic.