PT-2026-136173
CVE-2026-121416
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
SurrealDB الإصدارات من 2.0.0 إلى 3.3.0
الوصف
يفشل محرك البث في فرض القيود المحددة بواسطة علم
--deny-funcs عند استخدام استدعاءات الدوال بنمط الطريقة (method-style). يحدث هذا لأن الدالة MethodPart::evaluate() تستدعي الدوال التي تم حلها دون إجراء فحص للصلاحيات. نتيجة لذلك، يمكن للمستخدمين المصرح لهم الذين يمكنهم إرسال الاستعلامات تشغيل الدوال الممنوعة عبر صيغة الطريقة، مثل [1,2].map() أو $f.put() و $f.get()، مما يسمح بقراءة وكتابة بيانات حاويات الملفات على الرغم من وجود قيود على file::*.التوصيات
تحديث SurrealDB إلى الإصدار 3.3.1 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾