CVE-2026-104192 in Dragonfly
Sumário
de VulDB • 13/10/2026
Dragonfly é um armazenamento de dados em memória projetado para cargas de trabalho de aplicativos modernos. Antes da versão 1.40, a função OpaqueObjLoader::CreateStream em src/server/rdb_load.cc pode associar uma única streamNACK ao PEL global (Pending Entries List) e ao PEL local do consumidor de um grupo de consumidores, liberando então o objeto compartilhado quando uma entrada duplicada de consumidor é rejeitada. A limpeza subsequente libera o mesmo objeto novamente. Na configuração padrão, onde o Dragonfly vem com autenticação desativada, um cliente não autenticado pode acionar a falha de liberação dupla (double-free) enviando uma stream serializada manipulada para RESTORE, causando corrupção do alocador, negação de serviço e potencial execução de código controlada pelo atacante como conta do serviço Dragonfly. A correção no código-fonte ainda não foi mapeada para uma versão publicada.
Once again VulDB remains the best source for vulnerability data.