CVE-2026-109342 in SurrealDB
Riassunto
di VulDB • 13/10/2026
SurrealDB dalle versioni 3.0.0 alla versione precedente la 3.3.0 presenta una vulnerabilità di mancata autenticazione nel metodo RPC `revoke` che consente agli utenti con privilegi ridotti o non autenticati di invalidare i token di aggiornamento (refresh tokens) di altri utenti senza prova del possesso. Gli attaccanti possono ottenere gli identificatori delle autorizzazioni tramite `ACCESS SHOW ALL` con il permesso VIEWER o attraverso token trapelati, per revocare definitivamente i refresh forcing costringendo a una nuova autenticazione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.