CVE-2026-121420

Nome do Software Vulnerável e Versões Afetadas SurrealDB versões 3.2.0 through 3.2.x

Description Existe um problema na verificação is private ip do FilteringResolver que falha ao desempacotar endereços IPv6 NAT64, 6to4 e Teredo. Usuários autenticados podem explorar isso disparando requisições HTTP externas via funções http do SurrealQL usando endereços de transição que incorporam alvos IPv4 privados. Isso permite o acesso ao localhost, serviços internos ou endpoints de metadados de nuvem. Server-side request forgery é uma falha que permite que um invasor induza a aplicação do lado do servidor a fazer requisições para um local não pretendido.

Recommendations Atualize o SurrealDB para a versão 3.3.0.