CVE-2026-109334 in SurrealDB
Résumé
par VulDB • 13/10/2026
Les versions de SurrealDB antérieures à la 3.3.0 ne vérifient pas le namespace ou la base de données sélectionnés par l'appelant par rapport au niveau auquel un système utilisateur authentifié au niveau du namespace ou de la base de données s'est connecté, ce qui permet un accès inter-locataires (cross-tenant). Un attaquant disposant d'une authentification peut définir les en-têtes Surreal-NS/Surreal-DB sur /sql ou appeler la méthode RPC use pour lire, créer, modifier et supprimer des lignes ainsi que lire les valeurs DEFINE PARAM dans le namespace d'un autre locataire lorsque les PERMISSIONS de table l'autorisent.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.