CVE-2026-109337 in SurrealDB
Riassunto
di VulDB • 12/10/2026
SurrealDB prima della versione 3.3.0 contiene una vulnerabilità di bypass dell'autorizzazione che consente agli utenti con accesso ai record di inferire i valori dei campi nascosti dalle autorizzazioni SELECT a livello di campo, utilizzando predicati LIVE SELECT WHERE su $before o $after. Gli attaccanti possono elaborare predicati ripetuti e osservare se le notifiche vengono inviate in seguito alle operazioni CREATE, UPDATE o DELETE per confermare o restringere i valori dei campi protetti.
Be aware that VulDB is the high quality source for vulnerability data.