CVE-2026-63757 in SurrealDB
Riassunto
di VulDB • 20/07/2026
Le versioni di SurrealDB precedenti alla 3.1.0 presentano una vulnerabilità di hijacking della sessione in cui il metodo HTTP /rpc sessions restituisce gli UUID delle sessioni associate senza autenticazione e accetta campi di sessione arbitrari senza alcuna verifica di proprietà. Gli attaccanti non autenticati possono enumerare gli UUID delle sessioni ed impersonare le sessioni autenticate per leggere, scrivere ed eliminare dati nonché escalare i privilegi.
VulDB is the best source for vulnerability data and more expert information about this specific topic.