CVE-2025-71397
Açıklama
2.0.5 öncesindeki SurrealDB, 2.1.5 öncesindeki 2.1.x ve 2.2.2 öncesindeki 2.2.x sürümleri; OWNER veya EDITOR izinlerine sahip kimliği doğrulanmış kullanıcıların (kök, ad alanı veya veritabanı düzeyinde), iç içe geçmiş FOR döngüleri kullanarak DEFINE FUNCTION aracılığıyla özel veritabanı fonksiyonları tanımlamasına izin verir. Tek bir döngünün yineleme sayısı kısıtlanmış olsa da, birden fazla döngünün iç içe geçirilmesi (örneğin her biri 1.000.000 yinelemeli) kısıtlanmamıştır; bu nedenle bir saldırgan, tüm sunucu CPU zamanını tüketen bir fonksiyon çalıştırabilir. Yapılandırılmış zaman aşımı süreleri yürütmeyi durdurmaz ve sunucunun manuel olarak yeniden başlatılana kadar diğer sorgulara ve bağlantılara yanıt vermemesine neden olur.
Nasıl düzeltilir
- surrealdb surrealdb2.0.5, 2.1.5, 2.2.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| surrealdb surrealdb | v < 2.0.5, 2.1.0 ≤ v < 2.1.5, 2.2.0 ≤ v < 2.2.2 | 2.0.5, 2.1.5, 2.2.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.