Vulnérabilité dans github.com/dgraph-io/dgraph/v25 (CVE-2026-102748)
Résumé
Vulnérabilité dans github.com/dgraph-io/dgraph/v25 (CVE-2026-102748). Risque d'opérations non autorisées ou de divulgation. Exploitable via group. Atténuation : mise à jour vers 25.4.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
Dgraph v25.3.8 exposes a Zero HTTP administrative surface that is unauthenticated when port 6080 is reachable.
The exposed routes include:
/state/assign/removeNode/moveTablet
An unauthenticated request to /removeNode?id=1&group=0 on a single-node standalone deployment breaks the Zero control plane and leaves Alpha repeatedly failing to reconnect to localhost:5080.
Details
The issue exists because Zero administrative HTTP endpoints are registered directly without any authentication or IP-whitelist wrapper.
Relevant code paths:
worker/server_state.go:41dgraph/cmd/zero/run.go:295-301dgraph/cmd/zero/http.go:106-129dgraph/cmd/zero/zero.go:475-477
The relevant behavior is:
disable-admin-http=falseby default/removeNodeaccepts attacker-controlledidandgroupremoveNodeforwards those directly intoServer.RemoveNode- for
group=0,Server.RemoveNodeimmediately callsProposePeerRemoval
This means a remote unauthenticated caller can directly trigger destructive membership operations if 6080 is exposed.
PoC
Read state without authentication
curl -i http://127.0.0.1:6080/state
Observed response included:
- Zero node
id=1 groupId=0leader=true- cluster topology and tablet state
Write-capable route without authentication
curl -i 'http://127.0.0.1:6080/assign?what=nsids&num=1'
Observed response:
HTTP/1.1 200 OK
...
{"startId":"…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-102748 a été découverte dans github.com/dgraph-io/dgraph/v25.
Des attaquants peuvent cibler un point d'entrée spécifique comme group à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour github.com/dgraph-io/dgraph/v25 vers 25.4.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « github.com/dgraph-io/dgraph/v25 CVE-2026-102748 » sur le site de l'éditeur.
CVE-2026-102748 (github.com/dgraph-io/dgraph/v25) — CWE-306
Surface d'attaque : group / removeNode / Server.RemoveNode / ProposePeerRemoval
Correctif : 25.4.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-306) affecte github.com/dgraph-io/dgraph/v25. Les attaquants atteignent le code vulnérable via group.
Consultez l'avis de l'éditeur pour les versions affectées de github.com/dgraph-io/dgraph/v25. Surface d'attaque : group / removeNode / Server.RemoveNode / ProposePeerRemoval.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 25.4.0.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'github.com/dgraph-io/dgraph/v25' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
github.com/dgraph-io/dgraph/v25を grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade github.com/dgraph-io/dgraph/v25 to 25.4.0ステージング環境で 25.4.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。