PT-2026-33176
CVE-2026-40173
·
تاريخ النشر
2026-04-15
·
تاريخ التحديث
2026-09-04
الوصف من
CVSS 3.1
9.4
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Dgraph الأقدم من 25.3.2
الوصف
يوجد ثغرة تؤدي إلى الكشف عن بيانات الاعتماد دون مصادقة، حيث يتم تسجيل نقطة النهاية ’/debug/pprof/cmdline‘ على الموزع الافتراضي (mux) ويمكن الوصول إليها دون مصادقة. وهذا يؤدي إلى الكشف عن سطر أوامر العملية بالكامل، بما في ذلك رمز الإداري الذي تم تكوينه عبر علامة بدء التشغيل
--security ”token=...“. يمكن للمهاجم استرداد هذا الرمز واستخدامه في رأس X-Dgraph-AuthToken لتجاوز عملية التحقق من صحة الرمز adminAuthHandler() والحصول على وصول إداري مميز غير مصرح به إلى نقاط النهاية مثل ’/admin/config/cache mb‘. وهذا يسمح بإجراء تغييرات غير مصرح بها في التكوين وإجراءات التحكم التشغيلي إذا كان منفذ Alpha HTTP متاحًا لأطراف غير موثوق بها.التوصيات
قم بالتحديث إلى الإصدار 25.3.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾