Към съдържанието
Търсене

CVE-2026-121419: surrealdb, заобикаляне на вход и права

8.6

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

    Описание

    Оригинално описание

    SurrealDB from 3.1.0 before 3.3.0 contains an improper authentication vulnerability where the MCP BoundSubject fingerprint uses the access method name instead of per-user identity for JWT/Bearer access. Attackers with a valid low-privilege token for the same access method and a victim's mcp-session-id can hijack the session and execute MCP tools with the victim's roles and permissions.

    Засегнати продукти

    • surrealdb surrealdb: 3.1.0 преди 3.3.0; 3.3.0

    Вид слабост

    История

    • 3 ноември 2026 Публикувано

    Други уязвимости в surrealdb surrealdb

    Първоизточници

    CVE-2026-121419: surrealdb, заобикаляне на вход и права | freedomonline.bg