CVE-2026-34976
Təsvir
Dgraph açıq mənbəli paylanmış GraphQL verilənlər bazasıdır. 25.3.1 versiyasından əvvəl, restoreTenant admin mutasiyası avtorizasiya middleware konfiqurasiyasında (admin.go) çatışmır və bu, onu tamamilə autentifikasiyasız edir. Guardian-of-Galaxy autentifikasiyası tələb edən oxşar restore mutasiyasından fərqli olaraq, restoreTenant heç bir middleware olmadan icra olunur. Bu mutasiya hücumçu tərəfindən idarə olunan ehtiyat nüsxə mənbəyi URL-lərini (lokal fayl sisteminə giriş üçün file:// daxil olmaqla), S3/MinIO etibarnamələrini, şifrələmə açarı fayl yollarını və Vault etibarnamə fayl yollarını qəbul edir. Autentifikasiya olunmamış hücumçu bütün verilənlər bazasını yenidən yaza, server tərəfli faylları oxuya və SSRF həyata keçirə bilər. Bu zəiflik 25.3.1 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- github.com/dgraph-io/dgraph/v2525.3.1 və ya daha yeni versiya
- github.com/hypermodeinc/dgraph/v2424.1.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dgraph dgraph | v ≤ 25.3.0 | — |
| github.com/dgraph-io/dgraph/v25Go | v < 25.3.1 | 25.3.1 |
| github.com/dgraph-io/dgraph/v24Go | v ≤ 24.0.5 | — |
| github.com/dgraph-io/dgraphGo | v ≤ 1.2.8, Aralıq göstərilməyib | — |
| github.com/hypermodeinc/dgraph/v24Go | 24.0.0 ≤ v < 24.1.6 | 24.1.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.