PT-2026-113943 · Dgraph Io+2 · Dgraph+1

CVE-2026-102748

·

تاريخ النشر

2026-10-14

·

تاريخ التحديث

2026-10-15

CVSS v4.0

9.2

حرجة

المتجهAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة Dgraph الإصدارات السابقة لـ 25.4.0
الوصف يقوم Dgraph Zero بتسجيل مسارات HTTP إدارية على المنفذ 6080 بدون مصادقة عندما تكون الواجهة الإدارية مفعلة. يمكن لمهاجم عن بُعد غير مصرح له بالوصول إلى منفذ HTTP الخاص بـ Zero تعطيل مستوى تحكم Zero وزعزعة استقرار عقد Alpha. يتم ذلك من خلال التفاعل مع المسارات التالية:
  • '/state' لقراءة الطوبولوجيا
  • '/assign' لتخصيص المعرفات
  • '/moveTablet' للوصول الإداري
  • '/removeNode' لإزالة العضوية، والذي يقبل المتغيرات id و group ويمررها إلى الدالة Server.RemoveNode()، حيث يمكن للقيمة 0 في group تفعيل ProposePeerRemoval().
التوصيات التحديث إلى الإصدار 25.4.0. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى منفذ HTTP 6080 الخاص بـ Zero أو قم بتعطيل الواجهة الإدارية.

استغلال

إصلاح

Missing Authorization

Missing Authentication

وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
dbugs@ptsecurity.com

تصنيف نقاط الضعف

CWE-862CWE-306

المعرّفات ذات الصلة

CVE-2026-102748
GHSA-QJ98-GP63-54XJ

المنتجات المتأثرة

Dgraph
Github.Com/Dgraph-Io/Dgraph/V25