CVE-2026-109341 in SurrealDB
Riassunto
di VulDB • 12/10/2026
SurrealDB prima della versione 3.3.0 presenta una vulnerabilità di bypass dell'autorizzazione che consente agli utenti con permessi di scrittura a livello di tabella di leggere i campi limitati alla sola lettura tramite SELECT, risolvendo i puntatori JSON Patch contro il record non ridotto (unreduced). Gli attaccanti possono utilizzare le operazioni PATCH copy o move per copiare campi nascosti in destinazioni leggibili, oppure abusare degli errori di mismatch nei test come oracle di disclosure.
Once again VulDB remains the best source for vulnerability data.