CVE-2026-63735 High CVSS 8.1/10

🟠 CVE-2026-63735: High Schwachstelle

CVE-2026-63735
8.1/10
High
Nein
Various
Network

„`html

Zusammenfassung

Eine kritische Authentifizierungs- und Autorisierungslücke in SurrealDB Versionen vor 3.2.0 ermöglicht es authentifizierten Benutzern, auf Custom API Routen in fremden Namespaces und Datenbanken zuzugreifen. Durch manipulierte URL-Pfade können Angreifer mit gültigen Credentials Scope-Grenzen umgehen und auf sensitiven Daten anderer Mandanten zugreifen.

Betroffene Systeme

SurrealDB Versionen vor 3.2.0 sind betroffen. Die Schwachstelle manifestiert sich in allen Installationen, die Custom API Endpoints mit Namespace- und Database-Scope-Definitionen nutzen. Besonders kritisch ist die Auswirkung in Multi-Tenant-Umgebungen, wo mehrere Organisationen dieselbe SurrealDB-Instanz teilen.

Technische Details

Das Sicherheitsproblem liegt in unzureichender Validierung von Namespace- und Datenbank-Scopes bei Custom API Routes. Der Authentifizierungsmechanismus überprüft zwar, ob ein Benutzer berechtigt ist, führt aber keine Scope-Validierung durch. Angreifer können durch Manipulation des URL-Pfades (z.B. /api/{target_namespace}/{target_database}/custom_endpoint) Zugriff auf andere Datenbanken erlangen, selbst wenn sie nur für einen isolierten Namespace authentifiziert sind.

Die Vulnerability betrifft insbesondere REST-API Endpoints, bei denen der Scope nicht korrekt aus dem Kontext extrahiert und validiert wird.

Empfohlene Massnahmen

  • Sofortiges Update: Migration zu SurrealDB 3.2.0 oder höher durchführen
  • Interim-Mitigation: Custom API Routes bis zur Aktualisierung deaktivieren oder mit WAF-Regeln schützen
  • Audit: Logs auf unauthorized API-Zugriffe zwischen Namespaces überprüfen
  • Netzwerk-Segmentierung: Zusätzliche Firewall-Regeln zur Isolierung von Datenbank-Instanzen implementieren
  • Monitoring: Auffällige Zugriffsmuster zwischen Scopes überwachen

Bewertung

CVSS Score: 8.1 (High) | Angriffsvektor: Network

Die Kombination aus Authentifizierung, Datenexfiltration und Cross-Tenant-Risiko rechtfertigt die hohe Einstufung. Ein verfügbarer Patch existiert derzeit nicht, weshalb schnelle Aktualisierung kritisch ist.

„`

📷 Social Media Hashtags Instagram & Facebook
🔗 https://huntingthreats.de/%f0%9f%9f%a0-cve-2026-63735-high-schwachstelle/ #CVE #Vulnerability #CyberSecurity #ITSecurity #ZeroDay #Patch #InfoSec #CyberThreats #HuntingThreats #Cybersicherheit
💡 Tipp: Auf Instagram 10-15 Hashtags posten • Auf Facebook nur 3-5 verwenden
🛒

Empfohlene Security-Tools

* Affiliate-Links
🔑 Empfohlen
YubiKey Security Key NFC
Hardware-Sicherheitsschlüssel für Zwei-Faktor-Authentifizierung. Schützt Accounts selbst bei gestohlenen Passwörtern.
ab 29,00 € Amazon →
🛡 Netzwerk
GL.iNet GL-MT3000 Reise-Router
VPN-fähiger Pocket-Router mit WiFi 6. Schützt dein Netzwerk unterwegs und zu Hause vor Angriffen.
ab 69,00 € Amazon →
📘 Buch
Hacking & Cyber Security mit KI
Prompt Engineering, Phishing, Pentesting mit ChatGPT. Perfekt für IT-Security Einsteiger und Profis.
ab 24,99 € Amazon →
💻 Buch
Ethical Hacking - Das grosse Buch
Hacking mit Python Schritt für Schritt erklärt. Verstehe wie Angreifer denken und schütze deine Systeme.
ab 39,99 € Amazon →
🐍 Buch
Python für Einsteiger
Programmieren lernen mit Python - Schritt für Schritt zum Python-Profi. Ideal für Security Automation.
ab 29,99 € Amazon →

* Als Amazon-Partner verdiene ich an qualifizierten Käufen. Diese Links helfen dabei, HuntingThreats kostenlos zu betreiben.

Automatisch aggregiert von HuntingThreats am 22.07.2026
Alle CVEs ansehen