JVNDB-2026-028486

SurrealDBにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

SurrealDBのバージョン2.0.5未満、2.1.xの2.1.5未満、および2.2.xの2.2.2未満では、スクリプト機能が明示的に有効化されている場合（--allow-scriptingまたは--allow-allを使用）、埋め込みJavaScriptスクリプト関数に対してデフォルトの実行時間制限が適用されません。認証された攻撃者は、長時間実行されるJavaScript関数を送信してサーバーリソースを枯渇させ、サービス拒否（DoS）を引き起こす可能性があります。なお、スクリプト機能はデフォルトでは無効になっています。

SurrealDB

• SurrealDB 2.0.5 未満
• SurrealDB 2.1.0 以上 2.1.5 未満
• SurrealDB 2.2.0 以上 2.2.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : No JavaScript script function default timeout could facilitate DoS  Advisory  surrealdb/surrealdb  GitHub

VulnCheck

• VulnCheck : SurrealDB before 2.2.2 Denial of Service via JavaScript Scripting  | Advisories | VulnCheck

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2025-71396

1. National Vulnerability Database (NVD) : CVE-2025-71396

• [2026年08月17日]
    掲載