PT-2026-35032
CVE-2026-41328
·
تاريخ النشر
2026-04-24
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Dgraph السابقة للإصدار 25.3.3
الوصف
تسمح ثغرة في Dgraph لمهاجم غير مصدق بالحصول على حق الوصول الكامل للقراءة إلى جميع البيانات الموجودة في قاعدة البيانات عند استخدام التكوين الافتراضي وعدم تمكين قوائم التحكم في الوصول (ACL). وتتمثل الثغرة في حقن DQL يحدث بسبب عدم التحقق من صحة الحقل
Lang في مفاتيح التغيير JSON.يمكن للمهاجم استغلال هذه الثغرة عن طريق إرسال طلبين HTTP POST إلى المنفذ 8080. أولاً، يستخدم المهاجم نقطة النهاية ’/alter‘ لإعداد مسند مخطط مع
@unique و@index(exact) و@lang. ثانياً، يرسل تعديلاً JSON مُصمم خصيصاً إلى نقطة النهاية ’/mutate?commitNow=true‘. ومن خلال تضمين حمولة حقن DQL في موضع علامة اللغة لمفتاح JSON، يمكن للمهاجم تجاوز دالة eq() وتنفيذ كتل استعلامات مسماة عشوائية من جانب الخادم. تستغل هذه العملية الدالة addQueryIfUnique() الموجودة في ملف edgraph/server.go، والتي تستخدم fmt.Sprintf لإنشاء استعلامات باستخدام المتغير predicateName غير المُعقّم، بما في ذلك القيمة الأولية لـ pred.Lang. ثم يتم إرجاع نتائج الاستعلام المُحقن في استجابة HTTP.التوصيات
قم بالتحديث إلى الإصدار 25.3.3.
كحل مؤقت، قم بتمكين قائمة التحكم في الوصول (ACL) لمنع الوصول غير المصادق عليه إلى نقاط النهاية ’/alter‘ و ’/mutate‘.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾