CVE.futuretools
FAQ
NVD NIST
CVE-2024-58363

SurrealDB before 1.5.4 Authentication Bypass via Database Switch

CVSS 3.1Medium
5.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.5.4, 2.0.0-alpha.6, 1.5.1
Обновите SurrealDB до версии 1.5.4 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Обход аутентификации в SurrealDB при переключении базы данных пользователем области видимости (scope user). Ошибка позволяет выдавать себя за другую учетную запись при совпадении идентификаторов.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В версиях SurrealDB до 1.5.4 отсутствует корректная валидация контекста сессии при смене базы данных через конструкцию USE или вызов метода use. Аутентифицированный пользователь может переключиться на другую БД, где при наличии записи с идентичным идентификатором движок не инвалидирует права.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Несанкционированное выполнение операций от имени чужой учетной записи в целевой базе данных, если модель разграничения доступа опирается исключительно на параметр $auth.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

surrealdbsurrealdb
>= 0➔Fix: 1.5.4
surrealdbsurrealdb
>= 0➔Fix: 2.0.0-alpha.6
surrealdbsurrealdb
>= 0➔Fix: 1.5.1
——
>= 0➔Fix: 1.5.4
——
>= 2.0.0-alpha.1➔Fix: 2.0.0-alpha.6
——
>= 0➔Fix: 1.5.1

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (2)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2024-58363: SurrealDB before 1.5.4 Authentication Bypass via Database Switch. URL: https://cve.futuretools.ru/cve/CVE-2024-58363
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2024_58363,
  title = {{CVE-2024-58363: SurrealDB before 1.5.4 Authentication Bypass via Database Switch}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2024-58363}},
  note = {Оперативный инженерный анализ киберугроз}
}