事件经过
SurrealDB的MCP BoundSubject指纹识别对JWT/Bearer访问使用访问方法名称而不是每用户身份，因此会话范围限定到某个访问方法而非不同的身份。持有同一访问方法的低权限令牌加上受害者的mcp-session-id，攻击者可以劫持会话并以受害者的角色和权限运行MCP工具。CVSS 8.1（3.1）/ 8.6（4.0），高风险；发布于2026-11-03。
影响分析
SurrealDB暴露了一个LLM代理调用的MCP服务器，用于查询和修改数据。允许攻击者以更高权限用户身份在MCP工具表面上操作的会话劫持，意味着代理的数据库操作可以被重定向或升级——这是依赖SurrealDB MCP集成的AI部署中数据/代理边界的直接破坏。
攻击途径
MCP集成中的不正确认证：MCP BoundSubject指纹源自访问方法名称而非每用户身份。由于指纹对每个用户不是唯一的，持有同一访问方法有效低权限令牌的攻击者可以将其与受害者的mcp-session-id（获取或猜测）结合，被视为受害者，并以受害者的角色和权限调用MCP工具表面。
受影响系统
SurrealDB（surrealdb，Rust crate）3.1.0 <= x < 3.3.0
缓解措施
升级到SurrealDB 3.3.0。厂商公告：https://github.com/surrealdb/surrealdb/security/advisories/GHSA-pgh9-49q4-hqcx