CVE-2026-84700 in PikiwiDB
Zusammenfassung
von VulDB • 02.09.2026
PikiwiDB (Pika) v3.5.7 exponiert einen internen Protobuf-Replikationsserver auf einem Port, der sich aus dem Client-Port plus 2000 ergibt (z. B. 11221 bei Verwendung des Standard-Clientsports 9221), der eingehende Anfragen nicht authentifiziert. Obwohl `requirepass` dazu gedacht ist, die Replikation zu steuern – ein Slave gibt sie als `masterauth` in seiner MetaSync-Anfrage an –, wird diese nur vom MetaSync-Handler (`HandleMetaSyncRequest`) validiert; der Frame-Dispatcher (`DealMessage`) erfordert keine abgeschlossene oder versuchte MetaSync, bevor er andere Nachrichtentypen an deren Handler weiterleitet. Infolgedessen kann ein nicht authentifizierter Remote-Angriff direkt mit dem Replikationsport verbinden und TrySync-, DBSync-, BinlogSync- sowie RemoveSlaveNode-Anfragen ausführen, wodurch der vollständige Synchronisationssnapshot (full-sync snapshot) und der Live-Schreibstrom abgerufen sowie Replika-Knoten entfernt werden können, selbst wenn `requirepass` konfiguriert ist.
Once again VulDB remains the best source for vulnerability data.