Më 15 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-qj98-gp63-54xj (CVE-2026-102748) për një dobësi me rrezikshmëri kritike (CVSS 9.2) në paketën github.com/dgraph-io/dgraph/v25 të ekosistemit Go.
Paketat e prekura
- github.com/dgraph-io/dgraph/v25 (Go) — versionet e prekura:
<= 25.3.8; versioni me rregullim:25.4.0
Detaje
- Rrezikshmëria: Kritike (CVSS 9.2)
- CWE: CWE-306 (Missing Authentication for Critical Function), CWE-862 (Missing Authorization)
- Identifikuesit: GHSA-qj98-gp63-54xj, CVE-2026-102748
Përmbledhja zyrtare (në anglisht)
Dgraph: Zero Unauthenticated HTTP Admin removeNode Denial of Service — Summary Dgraph v25.3.8 exposes a Zero HTTP administrative surface that is unauthenticated when port 6080 is reachable. The exposed routes include: – /state – /assign – /removeNode – /moveTablet An unauthenticated request to /removeNode?id=1&group=0 on a single-node standalone deployment breaks the Zero control plane and leaves Alpha repeatedly failing to reconnect to localhost:5080 . Details The issue exists because Zero administrative HTTP endpoints are registered directly without any authentication or IP-whitelist wrapper. Relevant code paths: – worker/server_state.go:41 – dgraph/cmd/zero/run.go:295-301 -…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin github.com/dgraph-io/dgraph/v25, përditësojeni sa më shpejt në versionin 25.4.0 ose më të ri.
