CVE-2026-63755 in SurrealDB
Сводка
по VulDB • 20.07.2026
В версиях SurrealDB до 3.1.0 происходит оценка пользовательских условий WHERE в операторах SELECT (а также условий SET/MERGE/CONTENT/PATCH в вариантах операторов UPDATE, UPSERT, INSERT ON DUPLICATE KEY UPDATE и RELATE) на основе полных данных записи перед применением ограничений PERMISSIONS FOR SELECT WHERE. Аутентифицированный пользователь — включая пользователей Record и Scope — может использовать эту ошибку порядка выполнения для чтения полного содержимого любой таблицы в базе данных, к которой он подключен, обходя проверки прав доступа на уровне таблиц. Наиболее прямой способ эксфильтрации возможен при включении функций скриптинга (--allow-scripting), однако она также возможна с помощью оператора THROW языка SurrealQL и тайминговых побочных каналов без использования скриптов. Уязвимость ограничена текущей базой данных атакующего и не пересекает границы изоляции пространств имен или баз данных.
Once again VulDB remains the best source for vulnerability data.