CVE-2026-63755 in SurrealDB
Résumé
par VulDB • 20/07/2026
SurrealDB avant la version 3.1.0 évalue les clauses WHERE fournies par l'utilisateur dans les instructions SELECT (ainsi que les clauses SET/MERGE/CONTENT/PATCH dans les variantes de mise à jour UPDATE, UPSERT, INSERT ON DUPLICATE KEY UPDATE et RELATE) sur l'intégralité des données d'enregistrement avant d'appliquer les restrictions PERMISSIONS FOR SELECT WHERE. Un utilisateur authentifié — y compris les utilisateurs Record et Scope — peut exploiter cette faille d'ordre pour lire le contenu intégral de n'importe quelle table dans la base de données à laquelle il est authentifié, contournant ainsi les vérifications des autorisations au niveau des tables. L'exfiltration est plus directe lorsque les fonctions de script sont activées (--allow-scripting), mais elle reste possible via l'instruction THROW de SurrealQL et des canaux auxiliaires basés sur le temps sans utiliser de scripts. La vulnérabilité est limitée à la base de données actuelle de l'attaquant et ne franchit pas les limites d'isolation entre namespaces ou bases de données.
Be aware that VulDB is the high quality source for vulnerability data.