JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024944 SurrealDBのバージョン3.1.0未満にはセッションハイジャックの脆弱性が存在します。この脆弱性は、HTTPの/rpc sessionsメソッドが認証なしに関連付けられたセッションUUIDを返し、所有権の確認なしに任意のセッションフィールドを受け入れてしまうことにあります。認証されていない攻撃者はセッションUUIDを列挙して認証済みセッションになりすまし、データの読み取り、書き込み、削除や権限昇格を行うことが可能です。 cpe:/a:surrealdb:surrealdb https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024944.html Common Vulnerabilities and Exposures (CVE) CVE-2026-63757 https://www.cve.org/CVERecord?id=CVE-2026-63757 National Vulnerability Database (NVD) CVE-2026-63757 https://nvd.nist.gov/vuln/detail/CVE-2026-63757 GitHub HTTP /rpc `sessions` method leaks attached session UUIDs, enabling full session hijack by anonymous callers Advisory surrealdb/surrealdb GitHub https://github.com/surrealdb/surrealdb/security/advisories/GHSA-5qfp-32cf-69jh JVNDB CWE-306 https://cwe.mitre.org/data/definitions/306.html VulnCheck SurrealDB before 3.1.0 Session Hijacking via /rpc sessions | Advisories | VulnCheck https://www.vulncheck.com/advisories/surrealdb-before-session-hijacking-via-rpc-sessions 2026-07-24T10:07:53+09:00 2026-07-24T10:07:53+09:00