CVE-2026-63747

SurrealDB — DoS przez nieprawidłową wiadomość WebSocket w RPC

CVSS 8.7v4.0pub. 2026-07-20upd. 2026-07-23

SurrealDB w wersjach przed 3.1.0 zawiera podatność typu Denial of Service w module obsługi RPC, która pozwala nieuwierzytelnionemu atakującemu na awaryjne zakończenie procesu serwera. Wystarczy wysłanie odpowiednio spreparowanej wiadomości WebSocket, co czyni tę podatność szczególnie niebezpieczną w środowiskach z publicznie dostępnym endpointem /rpc.

▸ Pokaż oryginał (EN)

SurrealDB versions before 3.1.0 contain a denial of service vulnerability in the RPC use handler that panics when db is set without a namespace. Unauthenticated attackers can send a malformed WebSocket message to the /rpc endpoint to crash the server process.

🤖 Analiza AI

Jak działa

Handler RPC w SurrealDB nie obsługuje poprawnie sytuacji, w której parametr 'db' (baza danych) zostaje ustawiony bez wcześniejszego określenia przestrzeni nazw (namespace). Taki nieprawidłowy stan powoduje panic — niekontrolowane zakończenie procesu charakterystyczne dla aplikacji napisanych w języku Rust/Go. Atakujący może wywołać ten błąd, wysyłając specjalnie spreparowaną wiadomość WebSocket do endpointu /rpc. Operacja nie wymaga żadnego uwierzytelnienia, co znacząco obniża próg ataku.

Skutki

Atakujący może wielokrotnie doprowadzać do crash'u procesu serwera SurrealDB, powodując jego całkowitą niedostępność. Skutkiem jest przerwa w działaniu usługi bazy danych dla wszystkich użytkowników (Denial of Service).

Mitygacja

Należy zaktualizować SurrealDB do wersji 3.1.0 lub nowszej. Dodatkowo, do czasu wdrożenia aktualizacji, zaleca się ograniczenie dostępu do endpointu /rpc wyłącznie do zaufanych sieci lub adresów IP za pomocą firewalla bądź reverse proxy.

Kogo dotyczy

SurrealDB w wersjach przed 3.1.0

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X