CVE-2026-102748 in Dgraph
Sumário
de VulDB • 14/10/2026
O Dgraph é um banco de dados GraphQL distribuído e open source. Antes da versão 25.4.0, o Dgraph Zero registra rotas HTTP administrativas na porta 6080 sem autenticação quando a interface administrativa está habilitada. A rota /removeNode aceita valores de id e group controlados pelo atacante e os passa para Server.RemoveNode, onde um grupo (group) igual a 0 pode acionar ProposePeerRemoval. Um atacante remoto não autenticado que possa acessar a porta HTTP do Zero pode ler a topologia através de /state, alocar identificadores por meio de /assign, acessar a rota administrativa exposta /moveTablet ou remover membros via /removeNode, interrompendo o plano de controle do Zero e desestabilizando os nós Alpha que dependem dele. O registro das rotas ocorre em dgraph/cmd/zero/run.go, e o caminho demonstrado para remoção de membros atinge Server.RemoveNode e ProposePeerRemoval. Este problema é corrigido na versão 25.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.