CVE-2026-121416

Nome do Software Vulnerável e Versões Afetadas SurrealDB versões 2.0.0 até 3.3.0

Descrição O mecanismo de streaming não aplica as restrições definidas pela flag --deny-funcs em chamadas de função no estilo de método. Isso ocorre porque a função MethodPart::evaluate() invoca funções resolvidas sem realizar uma verificação de capacidade. Consequentemente, usuários autenticados que podem enviar consultas podem executar funções negadas via sintaxe de método, como [1,2].map() ou $f.put() e $f.get(), permitindo a leitura e gravação de dados de buckets de arquivos, apesar de negações de file::*.

Recomendações Atualize o SurrealDB para a versão 3.3.1 ou posterior.