Apa yang terjadi
Fingerprinting MCP BoundSubject SurrealDB menggunakan nama metode akses daripada identitas per pengguna untuk akses JWT/Bearer, sehingga sesi dibatasi pada metode akses daripada identitas yang berbeda. Token dengan hak rendah untuk metode akses yang sama ditambah mcp-session-id korban memungkinkan penyerang membajak sesi dan menjalankan tool MCP dengan peran dan izin korban. CVSS 8.1 (3.1) / 8.6 (4.0), TINGGI; diterbitkan 2026-11-03.
Mengapa penting
SurrealDB mengekspos server MCP yang dipanggil oleh agen LLM untuk meminta dan mengubah data. Pembajakan sesi yang memungkinkan penyerang bertindak sebagai pengguna hak istimewa yang lebih tinggi di permukaan tool MCP berarti tindakan database agen dapat diarahkan atau ditingkatkan — kompromi langsung pada batas data/agen dalam penerapan AI yang bergantung pada integrasi MCP SurrealDB.
Vektor serangan
Autentikasi tidak benar dalam integrasi MCP: sidik jari MCP BoundSubject diturunkan dari nama metode akses daripada identitas per pengguna. Karena sidik jari tidak unik per pengguna, penyerang yang memegang token hak rendah yang valid untuk metode akses yang sama dapat menggabungkannya dengan mcp-session-id korban (diperoleh atau ditebak) untuk diperlakukan sebagai korban dan memanggil permukaan tool MCP dengan peran dan izin korban.
Sistem yang terdampak
SurrealDB (surrealdb, crate Rust) 3.1.0 <= x < 3.3.0
Mitigasi
Tingkatkan ke SurrealDB 3.3.0. Advisory vendor: https://github.com/surrealdb/surrealdb/security/advisories/GHSA-pgh9-49q4-hqcx