CVE-2026-84700 in PikiwiDB
Riassunto
di VulDB • 02/09/2026
PikiwiDB (Pika) v3.5.7 espone un server di replicazione interno basato su protobuf su una porta derivata dalla porta del client più 2000 (ad esempio 11221 quando viene utilizzata la porta predefinita del client 9221), che non autentica le richieste in ingresso. Sebbene requirepass sia destinato a controllare l'accesso alla replicazione — uno slave lo presenta come masterauth all'interno della sua richiesta MetaSync — solo il gestore di MetaSync (HandleMetaSyncRequest) lo valida; il dispatcher dei frame (DealMessage) non richiede una sincronizzazione o un tentativo completato di MetaSync prima di instradare altri tipi di messaggi ai rispettivi handler. Di conseguenza, un attaccante remoto non autenticato può connettersi direttamente alla porta di replicazione ed emettere richieste TrySync, DBSync, BinlogSync e RemoveSlaveNode, ottenendo lo snapshot della sincronizzazione completa (full-sync) e il flusso live delle scritture, nonché rimuovendo i nodi replica, anche quando requirepass è configurato.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.