原文

SurrealDBのv2.6.1以前（およびv3.0.0-beta.3以前）には、組み込みのJavaScriptスクリプトエンジンにサービス拒否の脆弱性が存在します。このエンジンは、デフォルトで無効化されている--allow-scripting機能によって有効化されます。任意のクエリを実行できるユーザーは、--allow-guestsが有効な場合には認証されていないゲストも含めて、組み込みの文字列関数を使用して大きな文字列を作成し、それをJavaScript実行環境に渡してコンパイルさせることで、基盤となるQuickJS-NGエンジンのヌルポインタ参照を引き起こすことができます。これにより、サーバープロセスはグレースフルシャットダウンなしに即座に終了し、手動で再起動しなければなりません。この問題は、rquickjsの依存関係をv0.9.0からv0.11.0に更新することで修正されました。