CVE-2026-63309
Vulnérabilité moyenne dans surrealdb (surrealdb)
CVSS 5.3 · Moyenne
EPSS 0.3%
surrealdb•surrealdb•Versions : <3.1.5, 3.1.5, 3.0.0
Description
SurrealDB before 3.1.5 fail to apply field-level SELECT permissions to ORDER BY clauses, allowing authenticated users to leak the relative ordering of restricted field values. Attackers can issue ORDER BY queries on indexed restricted fields to recover the hidden values' sort order across records, even though the field itself returns null as intended.
Gravité et risque d'exploitation
CVE-2026-63309 obtient un score CVSS de 5.3/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.33 %, ce qui la place devant 24.8 % des CVE référencées.
Que faire ?
- Vérifiez si surrealdb (versions <3.1.5, 3.1.5, 3.0.0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.