- Yama var
- Son 7 gün
- CWE-269
CVE-2026-121419
SurrealDB MCP oturum ele geçirme zafiyeti (BoundSubject çakışması)
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu zafiyet, veritabanı kullanıcıları arasında oturum karışması yaratarak bir kullanıcının yetkilerinin başkası tarafından kullanılmasına izin verebilir. Ciddiyet yüksek olarak değerlendirilmiştir ve etkilenen sistemlerin güncellenmesi öncelikli olmalıdır.
ÖzetTürkçe
SurrealDB'nin 3.1.0 ile 3.3.0 öncesi sürümlerinde, JWT/Bearer erişim yöntemi kullanıldığında MCP BoundSubject parmak izi kullanıcıya özgü kimlik yerine erişim yönteminin adını esas alıyor. Aynı erişim yönteminde geçerli düşük yetkili bir token'a sahip saldırgan, bir kullanıcının mcp-session-id değerini bilirse o kullanıcının oturumunu ele geçirebilir. Etkilenen kurulumlar, MCP oturumlarını bu erişim yöntemiyle kullanan SurrealDB örnekleridir.
Saldırgan ne yapabilir?
Saldırgan, kurbanın rolleri ve yetkileriyle MCP araçlarını çalıştırabilir ve bu sayede veriye erişebilir veya veriyi değiştirebilir.
Kaynaktaki açıklama (İngilizce)
SurrealDB from 3.1.0 before 3.3.0 contains an improper authentication vulnerability where the MCP BoundSubject fingerprint uses the access method name instead of per-user identity for JWT/Bearer access. Attackers with a valid low-privilege token for the same access method and a victim's mcp-session-id can hijack the session and execute MCP tools with the victim's roles and permissions.
Ne yapmalı?
- SurrealDB'yi 3.3.0 veya üzeri bir sürüme yükseltin. Üretici
- Yükseltme tamamlanana kadar MCP özelliğini kullanan erişimleri geçici olarak kısıtlayın veya kapatın. Genel öneri
- Yükseltmeden sonra aktif MCP oturumlarını sonlandırın ve yeni oturumlar açılmasını sağlayın. Genel öneri
Ek önlemler
- Yalnızca gerekli kullanıcılara JWT/Bearer erişim yöntemiyle token tanımlayın ve düşük yetkili token dağıtımını sınırlayın. Genel öneri
- mcp-session-id değerlerinin loglarda veya paylaşılan ortamlarda açığa çıkmamasını sağlayın. Genel öneri
- Beklenmedik MCP araç çağrılarını ve aynı oturumun farklı kullanıcılardan gelen isteklerini izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| surrealdb | ≥ 3.1.0, < 3.3.0 | 3.3.0 |
| 3.3.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.