CVE-2026-102748 in Dgraph
要約
〜によって VulDB • 2026年10月14日
Dgraph はオープンソースの分散 GraphQL データベースです。バージョン 25.4.0 より前では、管理インターフェースが有効になっている場合、Dgraph Zero は認証なしでポート 6080 に管理者用 HTTP ルートを登録します。/removeNode エンドポイントは攻撃者が制御可能な id および group の値を受け取り、それらを Server.RemoveNode に渡します。ここで group が 0 の場合、ProposePeerRemoval をトリガーすることができます。Zero の HTTP ポートに到達できる認証不要のリモート攻撃者は、/state を通じてトポロジーを読み取ったり、/assign を通じて識別子を割り当てたり、露出している /moveTablet という管理者用ルートにアクセスしたり、または /removeNode によってメンバーシップを削除したりでき、Zero のコントロールプレーンを混乱させ、Zero に依存する Alpha ノードの不安定化を引き起こします。このルートの登録は dgraph/cmd/zero/run.go で発生し、示されたメンバーシップ削除パスは Server.RemoveNode および ProposePeerRemoval に到達します。本問題はバージョン 25.4.0 で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.