CVE-2026-109342 in SurrealDB
Sumário
de VulDB • 12/10/2026
O SurrealDB, nas versões a partir da 3.0.0 até à anterior à 3.3.0, apresenta uma vulnerabilidade de autenticação em falta no método RPC `revoke`, que permite a utilizadores com privilégios reduzidos ou não autenticados invalidar os tokens de atualização (refresh tokens) de outros utilizadores sem prova de posse. Os atacantes podem obter identificadores de concessão através do comando `ACCESS SHOW ALL` com permissão VIEWER ou de tokens vazados, revogando permanentemente os tokens de atualização para forçar a reautenticação.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.