原文

SurrealDBのバージョン2.5.0より前および3.0.0-beta.3より前には、混乱した代理権限昇格の脆弱性が存在しています。権限のないユーザー（たとえば、データベース編集者ロールを持つユーザー）は、futures、関数、またはクロージャを含むフィールドを作成または変更することが可能です。これらは作成者ではなく、呼び出し/クエリを行うユーザーのコンテキストで実行されるため、攻撃者は影響を受けるレコードを読み書きする際に、より高い権限を持つユーザーの権限で実行される悪意のあるロジックを仕込むことができます。これにより、root所有者が作成される、またはサーバーが乗っ取られるなど、完全な権限昇格につながる可能性があります。