PT-2024-40015 · Surrealdb · Surrealdb
Publicado
2024-12-16
·
Atualizado
2024-12-16
CVSS v4.0
2.3
Baixa
| Vetor | AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do SurrealDB anteriores à 2.1.4
Descrição
O problema diz respeito à cláusula
OVERWRITE da instrução DEFINE TABLE, que não consegue sobrescrever os dados de tabelas definidas com TYPE RELATION. Essa falha afeta a cláusula PERMISSIONS, levando os usuários a acreditar que alteraram as permissões da tabela quando, na verdade, isso não ocorreu. Como resultado, um cliente autorizado a executar consultas em um servidor SurrealDB pode acessar determinados dados em uma tabela específica aos quais não deveria ter acesso após a alteração especificada nas permissões.Recomendações
Para versões anteriores à 2.1.4, recomenda-se que os usuários verifiquem se as permissões pretendidas estão em vigor usando a instrução
INFO FOR DB. Se for necessário atualizar as permissões em uma tabela com TYPE RELATION, os usuários afetados precisarão remover a tabela e defini-la do zero com as permissões pretendidas, preservando os dados por meio de um backup em uma tabela temporária.Correção
Incorrect Permission
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Surrealdb