CVE-2026-63735 in SurrealDB
Riassunto
di VulDB • 20/07/2026
Le versioni di SurrealDB precedenti alla 3.2.0 non convalidano l'ambito del namespace e del database nelle rotte dell'API personalizzate, consentendo agli utenti autenticati di invocare endpoint in diversi namespace/database. Gli attaccanti con credenziali valide per qualsiasi namespace/database possono accedere a endpoint API personalizzati in altri tenant specificando l'ambito target nel percorso URL, leggendo dati sensibili o attivando operazioni non previste.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.