CVE-2026-102748
Təsvir
Dgraph açıq mənbəli paylanmış GraphQL verilənlər bazasıdır. Versiya 25.4.0-dan əvvəl, inzibati interfeys aktiv olduqda, Dgraph Zero inzibati HTTP marşrutlarını 6080 portunda autentifikasiyasız qeydiyyata alır. /removeNode marşrutu hücum edən tərəf tərəfindən idarə olunan id və group dəyərlərini qəbul edir və onları Server.RemoveNode funksiyasına ötürür, burada group 0 ProposePeerRemoval prosesini tetikləyə bilər. Zero HTTP portuna çıxışı olan uzaqdakı autentifikasiya olunmamış hücumçu /state vasitəsilə topologiyanı oxuya, /assign vasitəsilə identifikatorlar təyin edə, açıq olan /moveTablet inzibati marşrutuna daxil ola və ya /removeNode vasitəsilə üzvlüyü ləğv edə bilər ki, bu da Zero idarəetmə müstəvisini pozur və Zero-dan asılı olan Alpha düyünlərinin sabitliyini sarsıdır. Marşrut qeydiyyatı dgraph/cmd/zero/run.go faylında baş verir və nümayiş etdirilən üzvlüyün silinməsi yolu Server.RemoveNode və ProposePeerRemoval funksiyalarına çatır. Bu problem 25.4.0 versiyasında düzəldilib.
Necə düzəltmək olar
- github.com/dgraph-io/dgraph/v2525.4.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/dgraph-io/dgraph/v25Go | v < 25.4.0 | 25.4.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.