CVE-2026-81032 in NebulaGraph
요약
\~에 의해 VulDB • 2026. 08. 26.
NebulaGraph는 인증되지 않은 HTTP 서비스를 통해 런타임 구성을 노출합니다. 각 데몬은 src/webservice/WebService.cpp에 정의된 웹 서비스를 시작하며, 바인드 주소가 기본적으로 모든 인터페이스로 설정되고 gflags 읽기 및 쓰기와 상태 및 통계를 위한 라우트가 등록됩니다. 서비스와 그 라우터는 모두 인증, 토큰 확인 또는 주소 제한을 수행하지 않습니다. 읽기 경로는 데몬의 전체 런타임 플래그 값 세트를 반환하며 여기에는 구성된 인증서, 키 및 인증 기관 경로, 비밀번호 파일 경로, 데이터 디렉토리 및 전송 보안 활성화 플래그가 포함됩니다. 쓰기 경로는 제공된 맵을 구문 분석하고 각 항목을 gflags 런타임 설정자를 통해 적용하므로 포트에 접근할 수 있는 호출자는 데몬의 동작을 재시작 없이 변경할 수 있으며 여기에는 전송 보안 플래끄 비활성화, 로그 파일 리디렉션 및 failed_login_attempts 및 password_lock_time_in_secs와 같은 플래그 수정이 포함됩니다. 이 엔드포인트에 대한 공개 보고서에서는 enable_authorize라는 단일 이름이 핸들러에 의해 거부된다고 설명하지만 릴리스 3.8.0에서는 이러한 거부가 존재하지 않으며 핸들러는 제공되는 모든 이름을 적용합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.