CVE-2026-102748 in Dgraph
الملخص
بحسب VulDB • 15/10/2026
Dgraph هو قاعدة بيانات GraphQL موزعة ومفتوحة المصدر. قبل الإصدار 25.4.0، كان Dgraph Zero يسجل مسارات HTTP إدارية على المنفذ 6080 دون مصادقة عند تفعيل الواجهة الإدارية. يقبل المسار /removeNode قيم id و group التي يتحكم فيها المهاجم وينقلها إلى Server.RemoveNode، حيث يمكن أن يؤدي استخدام مجموعة (group) بقيمة 0 إلى تشغيل ProposePeerRemoval. يمكن لمهاجم عن بُعد غير مصدق عليه قادر على الوصول إلى منفذ HTTP الخاص بـ Zero قراءة طوبولوجيا النظام عبر /state، وتخصيص معرّفات عبر /assign، والوصول إلى المسار الإداري المعروض /moveTablet، أو إزالة العضوية عبر /removeNode، مما يعطل مستوى التحكم في Zero ويزعزع استقرار عقد Alpha التي تعتمد على Zero. يحدث تسجيل هذه المسارات في الملف dgraph/cmd/zero/run.go، وتصل مسار إزالة العضوية المُظهر إلى Server.RemoveNode و ProposePeerRemoval. تم إصلاح هذه المشكلة في الإصدار 25.4.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.