热点事件持续更新

SurrealDB MCP 会话劫持漏洞披露

1 篇报道1 个报道来源2 小时前更新

先了解这件事

AI 综述

CVE-2026-121419 披露 SurrealDB 3.1.0 至 3.3.0 前版本存在不当认证漏洞：MCP BoundSubject 指纹使用访问方法名而非用户身份，攻击者凭同方法的低权限 token 和受害者的 mcp-session-id 即可劫持会话，以受害者权限执行 MCP 工具；3.3.0 已修复。漏洞仅影响使用 MCP HTTP 传输（POST /mcp）、且部署采用数据库、命名空间或根级 JWT/BEARER 访问方法并服务多个用户的场景，官方建议升级至 3.3.0。

AI 根据报道生成 · 2 小时前更新

报道时间线

沿着报道，了解事件的不同侧面。

11月3日

22:35
cve.now
CVE-2026-121419：SurrealDB 3.1.0 至 3.3.0 前存在 MCP 会话劫持漏洞
CVE-2026-121419 披露 SurrealDB 3.1.0 至 3.3.0 前存在不当认证漏洞，MCP BoundSubject 指纹使用访问方法名而非用户身份，攻击者凭同方法的低权限 token 和受害者的 mcp-session-id 可劫持会话并以受害者权限执行 MCP 工具。

本事件热度走势

还没有足够的连续观测数据，暂不绘制趋势。