Autorisation incorrecte dans surrealdb (CVE-2026-63751)
Résumé
Vulnérabilité dans surrealdb (CVE-2026-63751). Risque d'opérations non autorisées ou de divulgation. Exploitable via copy. Atténuation : mise à jour vers 3.1.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
SurrealDB lets callers modify records using JSON Patch operations via the UPDATE … PATCH statement (and SDK equivalents such as db.patch()). One of those operations is copy, which duplicates one field's value into another field of the same record. A PATCH with an empty from — for example, UPDATE thing:1 PATCH [{ op: 'copy', from: '', path: '/leak' }] — was treated as "copy the entire record" and duplicated every field, including fields the caller has no permission to read, into the destination field the caller chose. The permission filter that hides protected field values from the response only knew to hide the original protected field names, not the new destinations, so the protected values were returned to the caller intact under the new field name.
Impact
An authenticated user with permission to issue UPDATE … PATCH against a record could read the values of any field on that record, regardless of field-level PERMISSIONS FOR select restrictions. The leak is confidentiality-only, and bounded to the fields of the single record the caller targets per PATCH request — it does not expose other records on the same table or any data outside that record's scope.
Patches
A patch has been introduced that rejects an empty from pointer at parse time for both copy and move operations.
- Versions 3.1.0 and later are not affected by this issue.
Workarounds
Affected users who are unable to update should restrict UPDATE … PATCH to callers who alre…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-63751 a été découverte dans surrealdb.
Des attaquants peuvent cibler un point d'entrée spécifique comme copy à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 4.3/10.
Action : mettez à jour surrealdb vers 3.1.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « surrealdb CVE-2026-63751 » sur le site de l'éditeur.
CVE-2026-63751 (surrealdb) — CWE-863 / CVSS v3 4.3
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : copy / PATCH / from / move
Correctif : 3.1.0 — appliquer immédiatement
Contournement : Affected users who are unable to update should restrict UPDATE … PATCH to callers who already hold SELECT permission on every field of the target record — for them, the bug exposes nothing they can't already read.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une autorisation incorrecte (CWE-863) affecte surrealdb. Les attaquants atteignent le code vulnérable via copy.
Consultez l'avis de l'éditeur pour les versions affectées de surrealdb. Surface d'attaque : copy / PATCH / from / move.
Gravité : Moyenne (CVSS 4.3/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 3.1.0.
Contournement : Affected users who are unable to update should restrict UPDATE … PATCH to callers who already hold SELECT permission on every field of the target record — for them, the bug exposes nothing they can't already read.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'surrealdb' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
surrealdbを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply temporary workaround mitigate
Affected users who are unable to update should restrict `UPDATE … PATCH` to callers who already hold SELECT permission on every field of the target record — for them, the bug exposes nothing they can't already read.パッチが適用されるまでの応急処置として、Affected users who are unable to update should restrict
UPDATE … PATCHto callers who already hold SELECT permission on every field of the target record — for them, the bug exposes nothing they can't already read. を実施。回避策の副作用 (機能低下) を確認した上で。 -
3Apply patch patch
Upgrade surrealdb to 3.1.0ステージング環境で 3.1.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
4Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web vulncheck.com
- web github.com
- web github.com
- web github.com