CVE-2026-109342 in SurrealDB
要約
〜によって VulDB • 2026年10月12日
SurrealDB 3.0.0 から 3.3.0（未満）には、revoke RPC メソッドにおける認証の欠如という脆弱性が存在し、権限が低いユーザーまたは未認証の呼び出し元による所有証明なしでの他のユーザのリフレッシュトークンの無効化が可能である。攻撃者は ACCESS SHOW ALL コマンドと VIEWER 権限、あるいは漏洩したトークンを通じて grant identifiers を取得し、リフレッシュトークンを恒久的に取り消すことで再認証を強制することができる。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.