CVE-2026-63761 in SurrealDB
Riassunto
di VulDB • 20/07/2026
SurrealDB prima della versione 3.1.0 sostituisce silenziosamente l'algoritmo ES384 quando un metodo di accesso JWT è configurato con ALGORITHM ES512 (DEFINE ACCESS ... TYPE JWT ALGORITHM ES512), poiché il crate jsonwebtoken sottostante (v10.x) non dispone della variante ES512 e la mappazione predefinisce su ES384 senza generare errori, avvisi o messaggi di log. Gli utenti che forniscono la chiave P-521 corretta per ES512 riscontrano fallimenti nell'handshake di autenticazione a causa della discrepanza tra le curve crittografiche (ES384 prevede P-384), e i token vengono rifiutati dai sistemi esterni che si aspettano firme ES512 genuine. La vulnerabilità non può essere sfruttata per falsificare token o compromettere la riservatezza o l'integrità dei dati, poiché ES384 rimane crittograficamente robusto.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.