JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024939 SurrealDBのv2.6.1以前（およびv3.0.0-beta.3以前）には、組み込みのJavaScriptスクリプトエンジンにサービス拒否の脆弱性が存在します。このエンジンは、デフォルトで無効化されている--allow-scripting機能によって有効化されます。任意のクエリを実行できるユーザーは、--allow-guestsが有効な場合には認証されていないゲストも含めて、組み込みの文字列関数を使用して大きな文字列を作成し、それをJavaScript実行環境に渡してコンパイルさせることで、基盤となるQuickJS-NGエンジンのヌルポインタ参照を引き起こすことができます。これにより、サーバープロセスはグレースフルシャットダウンなしに即座に終了し、手動で再起動しなければなりません。この問題は、rquickjsの依存関係をv0.9.0からv0.11.0に更新することで修正されました。 cpe:/a:surrealdb:surrealdb https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024939.html Common Vulnerabilities and Exposures (CVE) CVE-2026-63762 https://www.cve.org/CVERecord?id=CVE-2026-63762 National Vulnerability Database (NVD) CVE-2026-63762 https://nvd.nist.gov/vuln/detail/CVE-2026-63762 GitHub Denial of Service through scripting function memory edge case Advisory surrealdb/surrealdb GitHub https://github.com/surrealdb/surrealdb/security/advisories/GHSA-xx7m-69ff-9crp JVNDB CWE-476 http://cwe.mitre.org/data/definitions/476.html VulnCheck SurrealDB before v2.6.1 Denial of Service via scripting | Advisories | VulnCheck https://www.vulncheck.com/advisories/surrealdb-before-denial-of-service-via-scripting 2026-07-24T10:07:37+09:00 2026-07-24T10:07:37+09:00