CVE-2026-63763
Açıklama
SurrealDB 2.5.0 öncesi ve 3.0.0-beta.3 öncesi sürümlerinde, confused deputy yetki yükseltme güvenlik açığı içermektedir. Ayrıcalıksız kullanıcılar (ör. database editor rolüne sahip olanlar), future, function veya closure içeren alanlar oluşturabilir ya da değiştirebilir. Bunlar oluşturucuları yerine çağıran/sorgulayan kullanıcının bağlamında çalıştırıldığından, bir saldırgan, daha yüksek ayrıcalıklı bir kullanıcı etkilenen kaydı okuduğunda veya yazdığında o kullanıcının izinleriyle çalışan kötü amaçlı mantık yerleştirebilir. Bu durum, root owner oluşturma ve sunucu ele geçirme dahil olmak üzere tam yetki yükseltmeye yol açabilir.
Nasıl düzeltilir
- surrealdb surrealdb2.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| surrealdb surrealdb | v < 2.5.0, 3.0.0 | 2.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.