JVNDB-2026-024939

SurrealDBにおけるNULL ポインタデリファレンスに関する脆弱性

SurrealDBのv2.6.1以前（およびv3.0.0-beta.3以前）には、組み込みのJavaScriptスクリプトエンジンにサービス拒否の脆弱性が存在します。このエンジンは、デフォルトで無効化されている--allow-scripting機能によって有効化されます。任意のクエリを実行できるユーザーは、--allow-guestsが有効な場合には認証されていないゲストも含めて、組み込みの文字列関数を使用して大きな文字列を作成し、それをJavaScript実行環境に渡してコンパイルさせることで、基盤となるQuickJS-NGエンジンのヌルポインタ参照を引き起こすことができます。これにより、サーバープロセスはグレースフルシャットダウンなしに即座に終了し、手動で再起動しなければなりません。この問題は、rquickjsの依存関係をv0.9.0からv0.11.0に更新することで修正されました。

SurrealDB

• SurrealDB 2.6.1 未満
• SurrealDB 3.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Denial of Service through scripting function memory edge case  Advisory  surrealdb/surrealdb  GitHub

VulnCheck

• VulnCheck : SurrealDB before v2.6.1 Denial of Service via scripting  | Advisories | VulnCheck

1. NULL ポインタデリファレンス(CWE-476) [その他]

1. CVE-2026-63762

1. National Vulnerability Database (NVD) : CVE-2026-63762

• [2026年07月24日]
    掲載