何が起きたか
SurrealDBのMCP BoundSubjectフィンガープリントは、JWT/ベアラーアクセスに対してユーザーごとの識別子ではなくアクセスメソッド名を使用するため、セッションは個別の識別子ではなくアクセスメソッドにスコープされます。同じアクセスメソッドの低特権トークンと被害者のmcp-session-idを組み合わせることで、攻撃者はセッションを乗っ取り、被害者の役割と権限でMCPツールを実行できます。CVSS 8.1（3.1）/ 8.6（4.0）、HIGH；2026-11-03公開。
なぜ重要か
SurrealDBはLLMエージェントがデータをクエリおよび変更するために呼び出すMCPサーバーを公開しています。攻撃者がより高い特権のユーザーとしてMCPツールサーフェス全体で行動できるセッションハイジャックは、エージェントのデータベースアクションがリダイレクトまたは昇格される可能性を意味します — SurrealDBのMCP統合に依存するAI展開におけるデータ/エージェント境界の直接的な侵害です。
攻撃経路
MCP統合における不適切な認証：MCP BoundSubjectフィンガープリントは、ユーザーごとの識別子ではなくアクセスメソッド名から派生します。フィンガープリントがユーザーごとに一意でないため、同じアクセスメソッドの有効な低特権トークンを保持する攻撃者は、それを被害者のmcp-session-id（取得または推測）と組み合わせて被害者として扱われ、被害者の役割と権限でMCPツールサーフェスを呼び出すことができます。
影響を受けるシステム
SurrealDB（surrealdb、Rustクレート）3.1.0 <= x < 3.3.0
緩和策
SurrealDB 3.3.0にアップグレードしてください。ベンダーアドバイザリ：https://github.com/surrealdb/surrealdb/security/advisories/GHSA-pgh9-49q4-hqcx