PT-2026-136175
CVE-2026-121418
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
SurrealDB الإصدارات 3.1.0 through 3.2.x
Description
توجد مشكلة في التصريح غير الصحيح تسمح لمستخدمي السجلات باستنتاج قيم الحقول المقيدة. يحدث هذا لأن مخطط البث (streaming planner) يستخدم الفهارس في الحقول التي لديها أذونات SELECT مقيدة. يمكن للمهاجم استغلال ذلك عن طريق تنفيذ استعلامات MATCHES للنصوص الكاملة، أو B-tree المركبة، أو استعلامات KNN HNSW (Hierarchical Navigable Small World، وهو فهرس قائم على الرسم البياني للبحث عن أقرب جار تقريبي) ضد هذه الحقول المقيدة لمعرفة ما إذا كانت السجلات تحتوي على قيم مخمنة محددة أو أقرب المتجهات.
Recommendations
تحديث SurrealDB إلى الإصدار 3.3.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾