PT-2026-110751
CVE-2026-109334
·
تاريخ النشر
2026-10-12
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
SurrealDB الإصدارات السابقة لـ 3.3.0
Description
توجد مشكلة حيث يفشل النظام في التحقق مما إذا كان نطاق الاسم (namespace) أو قاعدة البيانات التي اختارها المتصل تتطابق مع مستوى مصادقة مستخدم النظام على مستوى نطاق الاسم أو قاعدة البيانات، مما يسمح بالوصول عبر المستأجرين (cross-tenant). يمكن للمهاجم المصادق عليه التلاعب بترويسات
Surreal-NS و Surreal-DB على نقطة النهاية '/sql' أو استخدام طريقة RPC use() لإجراء عمليات غير مصرح بها، بما في ذلك قراءة وإنشاء وتعديل وحذف الصفوف، وكذلك قراءة قيم DEFINE PARAM في مستأجر آخر، بشرط أن تسمح أذونات الجدول (PERMISSIONS) بهذه الإجراءات.Recommendations
تحديث SurrealDB إلى الإصدار 3.3.0 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾