Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-284

CVE-2026-121416

SurrealDB'de deny-funcs kısıtlamasının metot tarzı çağrılarla atlatılması

surrealdb

Yüksek 7,1 CVSS 3.1
Yayımlandı
Güncellendi
3 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, veritabanı üzerinde yetkisi kısıtlanmış kullanıcıların, kendilerine kapatılmış işlemleri yapabilmesine olanak tanıyor. Kullanıcı verilerinin okunması veya değiştirilmesi iş açısından ciddi bir güven ve uyumluluk riski oluşturur. Etkilenen sistemlerin kısa sürede güncellenmesi önerilir.

ÖzetTürkçe

SurrealDB 2.0.0 ile 3.3.1 öncesi sürümlerde, akış motorundaki metot tarzı fonksiyon çağrıları --deny-funcs kısıtlamasına tabi tutulmuyor. MethodPart::evaluate, çözümlenen fonksiyonları yetki kontrolü yapmadan çalıştırıyor. Bu nedenle sorgu gönderebilen kimliği doğrulanmış kullanıcılar, engellenmiş fonksiyonlara metot söz dizimi üzerinden erişebiliyor.

Saldırgan ne yapabilir?

Saldırgan, file::* fonksiyonları yasaklanmış olsa bile dosya bucket verilerini okuyup yazabilir. Bu durum, yetkisiz veri erişimi ve veri değişikliğine yol açabilir.

Kaynaktaki açıklama (İngilizce)

SurrealDB 2.0.0 before 3.3.1 does not enforce --deny-funcs restrictions on method-style function calls in the streaming engine, because MethodPart::evaluate invokes resolved functions without a capability check. Authenticated users who can submit queries can run denied functions via method syntax, e.g. [1,2].map() or $f.put()/$f.get() to write and read file bucket data despite file::* denials.

Ne yapmalı?

  1. SurrealDB'yi 3.3.1 veya üstü bir sürüme yükseltin. Üretici
  2. Güncellemeyi uyguladıktan sonra, kısıtlanmış fonksiyonların metot tarzı çağrılarla artık çalıştırılamadığını test edin. Genel öneri
  3. Güncelleme yapılana kadar sorgu gönderme yetkisini yalnızca güvenilir kullanıcılarla sınırlandırın. Genel öneri

Ek önlemler

  • Veritabanı kullanıcılarının sorgu yetkilerini en az ayrıcalık ilkesine göre gözden geçirin. Genel öneri
  • Dosya bucket verilerine yönelik beklenmeyen okuma ve yazma işlemlerini izleyen günlük kayıtlarını inceleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
surrealdb ≥ 2.0.0, < 3.3.1 3.3.1
3.3.1 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.