CVE-2026-102748 in Dgraph
Resumen
por VulDB • 2026-10-14
Dgraph es una base de datos GraphQL distribuida y de código abierto. Antes de la versión 25.4.0, Dgraph Zero registra rutas HTTP administrativas en el puerto 6080 sin autenticación cuando está habilitada la interfaz administrativa. La ruta /removeNode acepta valores de id y group controlados por el atacante y los pasa a Server.RemoveNode, donde un grupo (group) con valor 0 puede desencadenar ProposePeerRemoval. Un atacante remoto no autenticado que pueda acceder al puerto HTTP de Zero puede leer la topología mediante /state, asignar identificadores a través de /assign, acceder a la ruta administrativa expuesta /moveTablet o eliminar miembros a través de /removeNode, lo que interrumpe el plano de control de Zero y desestabiliza los nodos Alpha que dependen de este. El registro de rutas se produce en dgraph/cmd/zero/run.go, y la trayectoria demostrada para la eliminación de membresía llega hasta Server.RemoveNode y ProposePeerRemoval. Este problema está corregido en la versión 25.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.