cve.now·· 1 天前推荐指数44
CVE-2026-121419：SurrealDB 3.1.0 至 3.3.0 前存在 MCP 会话劫持漏洞
CVE-2026-121419: SurrealDB 3.1.0 before 3.3.0 MCP Session Hijack via BoundSubject Collision
AI 导读
CVE-2026-121419 披露 SurrealDB 3.1.0 至 3.3.0 前存在不当认证漏洞，MCP BoundSubject 指纹使用访问方法名而非用户身份，攻击者凭同方法的低权限 token 和受害者的 mcp-session-id 可劫持会话并以受害者权限执行 MCP 工具。
来源：cve.now · cve.now