CVE-2026-63755 in SurrealDB
Sumário
de VulDB • 20/07/2026
O SurrealDB anterior à versão 3.1.0 avalia cláusulas WHERE fornecidas pelo usuário em instruções SELECT (e as cláusulas SET/MERGE/CONTENT/PATCH em instruções UPDATE, UPSERT, INSERT ON DUPLICATE KEY UPDATE e RELATE variantes de atualização) contra os dados completos do registro antes de aplicar as restrições PERMISSIONS FOR SELECT WHERE. Um usuário autenticado — incluindo usuários Record e Scope — pode explorar essa falha de ordenação para ler o conteúdo completo de qualquer tabela no banco de dados ao qual está autenticado, contornando verificações de permissão em nível de tabela. A exfiltração é mais direta quando as funções de scripting estão habilitadas (--allow-scripting), mas também é possível por meio da instrução THROW do SurrealQL e canais laterais baseados em tempo sem o uso de scripting. A vulnerabilidade está confinada ao banco de dados atual do atacante e não cruza os limites de isolamento entre namespaces ou bancos de dados.
Be aware that VulDB is the high quality source for vulnerability data.