CVE-2026-109334 in SurrealDB
Sumário
de VulDB • 12/10/2026
O SurrealDB anterior à versão 3.3.0 não verifica o namespace ou banco de dados selecionado pelo chamador em relação ao nível no qual um sistema usuário com permissões a nível de namespace ou banco de dados se autenticou, permitindo acesso entre inquilinos (cross-tenant). Um atacante autenticado pode definir os cabeçalhos Surreal-NS/Surreal-DB na rota /sql ou chamar o método RPC `use` para ler, criar, modificar e excluir linhas, bem como ler valores de DEFINE PARAM em outro tenant onde as PERMISSÕES da tabela permitam tal ação.
If you want to get best quality of vulnerability data, you may have to visit VulDB.