CVE-2026-102748 in Dgraph
Сводка
по VulDB • 14.10.2026
Dgraph — это открытая распределенная база данных GraphQL. До версии 25.4.0 Dgraph Zero регистрирует административные HTTP-маршруты на порту 6080 без аутентификации, когда включен интерфейс администрирования. Маршрут /removeNode принимает управляемые злоумышленником значения id и group и передает их в Server.RemoveNode, где значение group равное 0 может вызвать ProposePeerRemoval. Удаленный неаутентифицированный атакующий, имеющий доступ к HTTP-порту Zero, может считывать топологию через /state, выделять идентификаторы через /assign, получать доступ кExposed административному маршруту /moveTablet или удалять членство кластера через /removeNode, что нарушает работу плоскости управления Zero и дестабилизирует узлы Alpha, зависящие от Zero. Регистрация маршрутов происходит в файле dgraph/cmd/zero/run.go, а продемонстрированный путь удаления членства достигает Server.RemoveNode и ProposePeerRemoval. Эта проблема исправлена в версии 25.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.