Un RPC pubblico di Dgraph può cancellare e sostituire gruppi
U-ktdi ha segnalato in Dgraph Alpha una falla critica nei versioni precedenti alla 25.3.5: chi raggiunge il gRPC pubblico può usare una funzione di manutenzione come un comando di cancellazione remota e sostituzione dei dati di un gruppo. In un cluster con ACL, il gruppo 1 può essere riscritto e trascinare con sé i predicati interni di autorizzazione.
La chiamata StreamExtSnapshot accetta dati da un client non autenticato e, prima di caricarli, svuota il gruppo di destinazione. Non si tratta quindi di un semplice danneggiamento del database: il chiamante può rimpiazzare lo storage di un gruppo intero, con effetto diretto su integrità dei dati e, se il gruppo è 1, sul controllo degli accessi.
Per gli operatori di Dgraph Alpha esposti su :9080, il punto non è solo la patch di CVE-2026-54061. Una volta che un RPC di importazione è pubblico e senza autenticazione, il rischio si sposta dal dato corrotto alla fiducia amministrativa che quel dato rappresenta.