CVE-2026-63755

3.1.0 versiyasından əvvəlki SurrealDB, SELECT ifadələrindəki (və UPDATE, UPSERT, INSERT ON DUPLICATE KEY UPDATE və RELATE yeniləmə variantı ifadələrindəki SET/MERGE/CONTENT/PATCH bəndlərindəki) istifadəçi tərəfindən təmin edilən WHERE şərtlərini, PERMISSIONS FOR SELECT WHERE məhdudiyyətlərini tətbiq etməzdən əvvəl tam qeyd məlumatlarına qarşı qiymətləndirir. Autentifikasiya olunmuş istifadəçi — o cümlədən Record və Scope istifadəçiləri — bu ardıcıllıq qüsurundan istifadə edərək cədvəl səviyyəli icazə yoxlamalarını yan keçib autentifikasiya olunduqları verilənlər bazasındakı hər hansı cədvəlin tam məzmununu oxuya bilərlər. Məlumat sızması skript funksiyaları aktiv olduqda (--allow-scripting) daha birbaşa şəkildə baş verir, lakin skriptləmə olmadan da SurrealQL-in THROW ifadəsi və zamanlama əsaslı yan kanallar vasitəsilə mümkündür. Zəiflik hücumçunun cari verilənlər bazası ilə məhdudlaşır və namespace və ya verilənlər bazası izolyasiya sərhədlərini aşmır.