CVE-2025-71390
Açıklama
2.2.6, 2.3.6 ve 2.1.8 öncesindeki SurrealDB sürümleri (ve 3.0.0-alpha.7 ile daha eski sürümler), http::* fonksiyonlarındaki --deny-net ağ erişim kısıtlamalarına karşı DNS üzerinden çözümlenen ana bilgisayar adlarını doğrulamada başarısız olur. Kimliği doğrulanmış bir kullanıcı, engellenmiş bir IP adresine çözümlenen bir ana bilgisayar adı ile http::<fn>(<url>) fonksiyonunu çağırabilir; bu durum sunucunun isteği yine de gerçekleştirmesine ve yanıtı döndürmesine neden olur. Bu durum ağ erişim kontrollerini atlayarak kısıtlanmış dahili uç noktalara erişime izin verir ve dağıtıma bağlı olarak hassas bilgilerin ve kimlik bilgilerinin alınmasına veya değiştirilmesine yol açabilir.
Nasıl düzeltilir
- surrealdb surrealdb2.1.8, 2.2.6, 2.3.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| surrealdb surrealdb | v < 2.1.8, 2.2.0 ≤ v < 2.2.6, 2.3.0 ≤ v < 2.3.6, 3.0.0 | 2.1.8, 2.2.6, 2.3.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.