JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024938 SurrealDBのバージョン2.5.0より前および3.0.0-beta.3より前には、混乱した代理権限昇格の脆弱性が存在しています。権限のないユーザー（たとえば、データベース編集者ロールを持つユーザー）は、futures、関数、またはクロージャを含むフィールドを作成または変更することが可能です。これらは作成者ではなく、呼び出し/クエリを行うユーザーのコンテキストで実行されるため、攻撃者は影響を受けるレコードを読み書きする際に、より高い権限を持つユーザーの権限で実行される悪意のあるロジックを仕込むことができます。これにより、root所有者が作成される、またはサーバーが乗っ取られるなど、完全な権限昇格につながる可能性があります。 cpe:/a:surrealdb:surrealdb https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024938.html Common Vulnerabilities and Exposures (CVE) CVE-2026-63763 https://www.cve.org/CVERecord?id=CVE-2026-63763 National Vulnerability Database (NVD) CVE-2026-63763 https://nvd.nist.gov/vuln/detail/CVE-2026-63763 GitHub Confused Deputy Privilege Escalation through Future Fields and Functions. Advisory surrealdb/surrealdb GitHub https://github.com/surrealdb/surrealdb/security/advisories/GHSA-3v2x-9xcv-2v2v JVNDB CWE-639 https://cwe.mitre.org/data/definitions/639.html VulnCheck SurrealDB before 2.5.0 Privilege Escalation via Future Fields | Advisories | VulnCheck https://www.vulncheck.com/advisories/surrealdb-before-privilege-escalation-via-future-fields 2026-07-24T10:07:34+09:00 2026-07-24T10:07:34+09:00