CVE-2026-40173
Təsvir
Dgraph açıq mənbəli paylanmış GraphQL verilənlər bazasıdır. 25.3.1 və daha əvvəlki versiyalarda autentifikasiyasız etibarlılıq məlumatlarının sızması zəifliyi mövcuddur; burada /debug/pprof/cmdline son nöqtəsi (endpoint) standart mux üzərində qeydiyyatdan keçmişdir və autentifikasiya olmadan əlçatandır, bu isə --security "token=..." start bayrağı vasitəsilə konfiqurasiya edilmiş admin tokeni də daxil olmaqla bütün proses əmr sətrini ifşa edir. Hücumçu sızan tokeni əldə edə və ondan X-Dgraph-AuthToken başlığında istifadə edərək adminAuthHandler token yoxlamasını yan keçib /admin/config/cache_mb kimi yalnız administratorlara məxsus son nöqtələrə icazəsiz giriş əldə edə bilər. Bu, Alpha HTTP portunun etibarsız tərəflər üçün əlçatan olduğu hər hansı yerləşdirmədə konfiqurasiya dəyişiklikləri və əməliyyat idarəetmə hərəkətləri də daxil olmaqla, icazəsiz imtiyazlı inzibati girişi mümkün edir. Bu problem 25.3.2 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- dgraph dgraph25.3.2 və ya daha yeni versiya
- github.com/dgraph-io/dgraph/v2525.3.2 və ya daha yeni versiya
- github.com/hypermodeinc/dgraph/v2424.1.9 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dgraph dgraph | v < 25.3.2 | 25.3.2 |
| github.com/dgraph-io/dgraph/v25Go | v < 25.3.2 | 25.3.2 |
| github.com/dgraph-io/dgraph/v24Go | v ≤ 24.1.7 | — |
| github.com/dgraph-io/dgraphGo | v ≤ 1.2.8, Aralıq göstərilməyib | — |
| github.com/hypermodeinc/dgraph/v24Go | v < 24.1.9 | 24.1.9 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.