🟠 【深度分析】高危安全漏洞：CVE-2026-63735

CVSS 评分: 高危（8.6）🟠　　状态: Analyzed　　发布时间: 2026-07-20

🔍 技术细节速览

字段 值
CVE ID CVE-2026-63735
CVSS 评分 8.6 🟠
严重程度 高危
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-639
发布时间 2026-07-20
最后更新 2026-07-23
状态 Analyzed
数据来源 disclosure@vulncheck.com

⚠️ CVSS 评分：8.6（高危）
向量： CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
攻击路径： 远程网络（AV:N） | 攻击复杂度： 低（AC:L） | 所需权限： 低（PR:L）
影响： 机密性高（VC:H） & 完整性高（VI:H）

漏洞概述

CVE-2026-63735 是 SurrealDB 中一个严重的跨租户权限绕过漏洞，影响 3.2.0 之前的所有版本。该漏洞源于对自定义 API 路由中 namespace 和 database 作用域验证的缺失，导致拥有任一租户合法凭证的攻击者可以通过 URL 路径直接指定目标 scope，从而访问其他租户的自定义 API 端点。攻击者可借此读取敏感数据或触发非预期操作，危害多租户场景下的数据隔离性。

受影响组件与版本

  • 组件： SurrealDB
  • 受影响版本： < 3.2.0
  • 安全版本： 3.2.0 及以上
  • 环境： 多租户部署、启用自定义 API 路由的场景

漏洞原理分析

该漏洞属于 CWE-639：授权绕过——通过用户控制的键获取资源。在 SurrealDB 中，自定义 API 路由允许用户在特定 namespace/database 范围内注册端点。然而，服务器在处理请求时未对目标 namespace 和 database 进行有效的权限隔离，仅依赖 URL 路径中的 scope 标识进行路由分发。

攻击流程如下：

  1. 攻击者获取任意一个 namespace/database 的有效凭证（例如租户 A 的普通用户权限）。
  2. 构造 HTTP 请求，将 URL 路径中的 namespace/database 字段修改为其他租户的目标 scope（例如租户 B 的 ns:target_db）。
  3. 服务器在缺乏 scope 权限校验的情况下，直接将该请求路由至目标 namespace/database 的自定义 API 端点，执行对应的业务逻辑。

由于 CVSS 向量中的 AT:N（不规避攻击）和 AC:L（低复杂度），攻击无需额外的网络条件或复杂的绕过技巧，仅需改变 URL 路径即可实施。

现有信息足以确定漏洞成因：NVD 描述明确指出“fail to validate namespace and database scope in custom API routes”，且无其他技术细节需要推测。

影响评估

维度 评估
攻击向量 网络远程（AV:N），无需物理或本地访问
攻击复杂度 低（AC:L），只需简单的 URL 路径篡改
所需权限 低权限（PR:L），仅需任一合法租户的凭证
用户交互 无需（UI:N），攻击可完全自动化
机密性影响 高（VC:H），可读取其他租户自定义 API 返回的敏感数据
完整性影响 高（VI:H），可触发其他租户 API 的写操作，造成数据篡改或删除
可用性影响 无（VA:N），漏洞本身不导致拒绝服务
利用条件 需要多租户环境中启用了自定义 API 路由

潜在后果：

  • 跨租户数据泄露（如用户信息、业务记录）
  • 跨租户数据篡改（如修改其他租户的配置、状态）
  • 严重情况下可被用于横向移动，进一步攻击其他安全机制

修复建议

官方补丁

  • 立即升级至 SurrealDB 3.2.0 及以上版本。该版本修复了自定义 API 路由的 scope 验证逻辑，确保每个请求的目标 namespace/database 与当前授权上下文的权限一致。

临时缓解措施

  • 禁用自定义 API 路由：如果业务上不需要，可在配置中关闭该功能（参考官方文档 disable-custom-routes 选项）。
  • 网络隔离：通过 WAF 或反向代理限制对外暴露的 API 路径，仅允许已知 scope 访问。
  • 加强日志监控：审计请求日志中异常 scope 切换行为（如同一用户短时间内访问多个 namespace）。
  • 最小权限原则：为不同租户分配独立的认证凭证，并严格控制其有效 scope 范围（但注意：该漏洞的根本原因在于服务端验证缺失，客户端权限控制无法完全防御）。

参考资料