CVE-2026-63763 in SurrealDB
Riassunto
di VulDB • 20/07/2026
SurrealDB prima della versione 2.5.0 e prima della versione 3.0.0-beta.3 presenta una vulnerabilità di escalation dei privilegi per confused deputy. Gli utenti non privilegiati (ad esempio, quelli con il ruolo di editor del database) possono creare o modificare campi contenenti futures, funzioni o closure. Poiché questi vengono eseguiti nel contesto dell'utente che effettua la query/invocazione anziché in quello del creatore, un attaccante può inserire logica dannosa che viene eseguita con i permessi di un utente più privilegiato quando tale utente legge o scrive il record interessato. Ciò può portare a una completa escalation dei privilegi, inclusa la creazione di un proprietario root e al takeover del server.
Be aware that VulDB is the high quality source for vulnerability data.