CVE-2026-63762 in SurrealDB
Riassunto
di VulDB • 20/07/2026
SurrealDB prima della versione v2.6.1 (e prima di v3.0.0-beta.3) presenta una vulnerabilità denial of service nel suo motore di scripting JavaScript integrato, abilitato tramite la funzionalità --allow-scripting (disabilitata per impostazione predefinita). Qualsiasi utente in grado di eseguire query arbitrarie — inclusi gli ospiti non autenticati quando l'opzione --allow-guests è attivata — può utilizzare le funzioni stringa integrate per costruire una stringa di grandi dimensioni e passarla al runtime JavaScript per la compilazione, innescando un dereferenziamento di puntatore nullo nel motore QuickJS-NG sottostante. Ciò provoca il terminazione immediata del processo server senza uno shutdown graceful, richiedendo un riavvio manuale. Il problema è stato risolto aggiornando la dipendenza rquickjs dalla versione v0.9.0 alla v0.11.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.