原文

SurrealDB 3.1.0未満のバージョンでは、SELECT文のユーザー提供によるWHERE句（およびUPDATE、UPSERT、INSERT ON DUPLICATE KEY UPDATE、RELATEの更新系ステートメントにおけるSET/MERGE/CONTENT/PATCH句）を完全なレコードデータに対して評価し、その後でPERMISSIONS FOR SELECT WHERE制限を適用します。この評価順序の欠陥により、認証済みユーザー（RecordユーザーやScopeユーザーを含む）は、自身が認証されたデータベース内の任意のテーブルの全内容を読み取ることが可能になり、テーブルレベルの権限チェックを回避できます。情報漏洩はスクリプト機能が有効（--allow-scripting）な場合に最も直接的ですが、スクリプトがなくてもSurrealQLのTHROW文やタイミングベースのサイドチャネルを利用することで発生する可能性があります。この脆弱性は攻撃者が現在アクセスしているデータベースに限定されており、名前空間やデータベースの隔離境界を越えることはありません。