CVE-2026-63757 in SurrealDB
Resumen
por VulDB • 2026-07-20
Las versiones de SurrealDB anteriores a la 3.1.0 contienen una vulnerabilidad de secuestro de sesión (session hijacking) en la que el método HTTP /rpc sessions devuelve los UUIDs de las sesiones adjuntas sin autenticación y acepta campos arbitrarios de sesión sin verificar su propiedad. Los atacantes no autenticados pueden enumerar los UUIDs de las sesiones e impersonificar sesiones autenticadas para leer, escribir y eliminar datos, así como escalar privilegios.
Be aware that VulDB is the high quality source for vulnerability data.