CVE-2026-54061
CVSS 9.1 CRITICAL: dgraph is an open source distributed GraphQL database. EPSS 0.6% (45º percentile).
Vulnerabilità · 53 giorni fa
U-ktdi ha segnalato in Dgraph Alpha una falla critica nei versioni precedenti alla 25.3.5: chi raggiunge il gRPC pubblico può usare una funzione di manutenzione come un comando di cancellazione remota e sostituzione dei dati di un gruppo. In un cluster con ACL, il gruppo 1 può essere riscritto e trascinare con sé i predicati interni di autorizzazione.
La chiamata StreamExtSnapshot accetta dati da un client non autenticato e, prima di caricarli, svuota il gruppo di destinazione. Non si tratta quindi di un semplice danneggiamento del database: il chiamante può rimpiazzare lo storage di un gruppo intero, con effetto diretto su integrità dei dati e, se il gruppo è 1, sul controllo degli accessi.
Per gli operatori di Dgraph Alpha esposti su :9080, il punto non è solo la patch di CVE-2026-54061. Una volta che un RPC di importazione è pubblico e senza autenticazione, il rischio si sposta dal dato corrotto alla fiducia amministrativa che quel dato rappresenta.
CVSS 9.1 CRITICAL: dgraph is an open source distributed GraphQL database. EPSS 0.6% (45º percentile).
1 fonte che coprono questa storia
Falta la autenticación para una función crítica en Dgraph Alpha
U-ktdi ha reportado una vulnerabilidad crítica en Dgraph Alpha que podría permitir a un atacante no au
Part of the PlainSec briefing for 2026-08-24