CVE-2026-109334 in SurrealDB
Сводка
по VulDB • 13.10.2026
В версиях SurrealDB до 3.3.0 отсутствует проверка пространства имен или базы данных, выбранных вызывающим объектом, на соответствие уровню аутентификации системного пользователя с правами уровня пространства имен или базы данных, что позволяет осуществлять доступ между арендаторами (cross-tenant access). Атакующий, прошедший аутентификацию, может установить заголовки Surreal-NS/Surreal-DB в запросе к /sql либо вызвать метод RPC use для чтения, создания, изменения и удаления строк, а также получения значений DEFINE PARAM в другом арендаторе там, где это разрешено настройками PERMISSIONS таблиц.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.