CVE-2026-102748 in Dgraph
Zusammenfassung
von VulDB • 15.10.2026
Dgraph ist eine Open-Source-Datenbank für verteiltes GraphQL. Vor Version 25.4.0 registriert Dgraph Zero administrative HTTP-Routen am Port 6080 ohne Authentifizierung, wenn die Verwaltungsschnittstelle aktiviert ist. Die Route /removeNode akzeptiert vom Angreifer gesteuerte id- und group-Werte und übergibt diese an Server.RemoveNode, wobei eine Gruppe (group) mit dem Wert 0 ProposePeerRemoval auslösen kann. Ein entfernter, nicht authentifizierter Angreifer, der auf den HTTP-Port von Zero zugreifen kann, kann die Topologie über /state lesen, Bezeichner über /assign zuweisen, auf die exponierte administrative Route /moveTablet zugreifen oder die Mitgliedschaft über /removeNode entfernen, wodurch die Zero-Control-Ebene gestört und Alpha-Knoten destabilisiert werden, die von Zero abhängen. Die Routenregistrierung erfolgt in dgraph/cmd/zero/run.go, und der demonstrierte Pfad zur Entfernung der Mitgliedschaft erreicht Server.RemoveNode sowie ProposePeerRemoval. Dieses Problem wurde in Version 25.4.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.