CVE-2026-63762
Açıklama
v2.6.1 öncesindeki (ve v3.0.0-beta.3 öncesindeki) SurrealDB, varsayılan olarak devre dışı olan ve --allow-scripting özelliği ile etkinleştirilen gömülü JavaScript betik motorunda bir hizmet reddi zafiyeti içermektedir. --allow-guests etkin olduğunda kimliği doğrulanmamış konuklar da dahil olmak üzere rastgele sorgular çalıştırabilen herhangi bir kullanıcı, yerleşik dize fonksiyonlarını kullanarak büyük bir dize oluşturabilir ve bunu derleme için JavaScript çalışma zamanına aktararak alttaki QuickJS-NG motorunda bir null pointer dereference tetikleyebilir. Bu durum, sunucu işleminin düzgün bir kapatma işlemi olmaksızın anında sonlanmasına neden olur ve manuel yeniden başlatma gerektirir. Sorun, rquickjs bağımlılığının v0.9.0 sürümünden v0.11.0 sürümüne güncellenmesiyle giderilmiştir.
Nasıl düzeltilir
- surrealdb surrealdb2.6.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| surrealdb surrealdb | v < 2.6.1, 3.0.0 | 2.6.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.