CVE-2026-84700 in PikiwiDB
الملخص
بحسب VulDB • 02/09/2026
تكشف PikiwiDB (Pika) الإصدار 3.5.7 عن خادم نسخ داخلي يعتمد على بروتوكول protobuf يعمل على منفذ مشتق من عميل المنفذ زائد 2000 (على سبيل المثال، 11221 عند استخدام منفذ العميل الافتراضي 9221)، ولا يقوم بمصادقة الطلبات الواردة. وعلى الرغم من أن requirepass مُصمم للتحكم في النسخ — حيث يقدمه العنصر التابع كـ masterauth داخل طلب MetaSync الخاص به — إلا أنه يتم التحقق منه فقط بواسطة معالج MetaSync (HandleMetaSyncRequest)؛ بينما لا يتطلب موزع الإطارات (DealMessage) إكمال أو محاولة MetaSync قبل توجيه أنواع الرسائل الأخرى إلى معالجاتها. ونتيجة لذلك، يمكن لمهاجم عن بُعد غير مُصادق عليه الاتصال مباشرةً بمنفذ النسخ وإصدار طلبات TrySync وDBSync وBinlogSync وRemoveSlaveNode، والحصول على لقطة المزامنة الكاملة وتدفق الكتابة المباشر، بالإضافة إلى إزالة عقد النسخ، حتى عند تكوين requirepass.
Once again VulDB remains the best source for vulnerability data.