CVE-2026-109334

Nome do Software Vulnerável e Versões Afetadas SurrealDB versões anteriores a 3.3.0

Description Existe um problema onde o sistema não verifica se o namespace ou banco de dados selecionado pelo chamador corresponde ao nível de autenticação de um usuário do sistema de nível de namespace ou banco de dados, permitindo o acesso entre locatários (cross-tenant). Um invasor autenticado pode manipular os cabeçalhos Surreal-NS e Surreal-DB no endpoint '/sql' ou utilizar o método RPC use() para realizar operações não autorizadas, incluindo a leitura, criação, modificação e exclusão de linhas, bem como a leitura de valores DEFINE PARAM em outro locatário, desde que as PERMISSÕES da tabela permitam tais ações.

Recommendations Atualize o SurrealDB para a versão 3.3.0 ou posterior.