CVE-2026-63752 in SurrealDB
Riassunto
di VulDB • 20/07/2026
SurrealDB prima della versione 3.1.0 presenta una vulnerabilità di elusione dell'autorizzazione (authorization bypass) nell'istruzione RELATE che consente agli utenti autenticati con il permesso CREATE di sovrascrivere record edge esistenti senza disporre del permesso UPDATE. Gli attaccanti possono emettere un'istruzione RELATE con una clausola SET id puntata a un ID edge esistente, causando lo strato di storage (storage layer) la sovrascrittura silenziosa del record target invece del rifiuto dell'operazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.