CVE-2026-63762
Təsvir
SurrealDB v2.6.1-dən əvvəl (və v3.0.0-beta.3-dən əvvəl) daxili JavaScript skript mühərrikində xidmətdən imtina zəifliyi var; bu mühərrik --allow-scripting imkanı ilə aktivləşdirilir (susmaya görə deaktivdir). İxtiyari sorğuları icra edə bilən istənilən istifadəçi — --allow-guests aktiv olduqda autentifikasiyadan keçməmiş qonaqlar da daxil olmaqla — daxili sətir funksiyalarından istifadə edərək böyük sətir yarada və onu kompilyasiya üçün JavaScript mühitinə ötürə bilər ki, bu da əsas QuickJS-NG mühərrikində null göstərici dereferensiyasına səbəb olur. Bu, server prosesinin düzgün dayandırılmadan dərhal sonlanmasına səbəb olur və əl ilə yenidən işə salınması tələb olunur. Problem rquickjs asılılığının v0.9.0-dan v0.11.0-a yenilənməsi ilə düzəldilib.
Necə düzəltmək olar
- surrealdb surrealdb2.6.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| surrealdb surrealdb | v < 2.6.1, 3.0.0 | 2.6.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.