CVE-2026-121421

Nome do Software Vulnerável e Versões Afetadas SurrealDB versões 3.1.0 through 3.2.x

Description Existe um problema na correspondência de capacidades de rede onde as regras --deny-net específicas de porta (formatadas como HOST:PORT ou IP:PORT) correspondem apenas a strings de host literais, enquanto a verificação de IP resolvido ignora a porta. Isso permite que usuários autenticados ignorem restrições de rede e alcancem serviços internos bloqueados ao chamar funções http::* usando um nome de host que resolve para um IP negado ou usando o IP de um nome de host negado. Trata-se de um server-side request forgery, que ocorre quando um invasor induz uma aplicação no lado do servidor a fazer requisições para um local não pretendido.

Recommendations Atualize o SurrealDB para a versão 3.3.0 ou posterior.