کشف آسیب پذیری در Dgraph

آسیب‌پذیری CVE-2026-41492 با شدت 9.8 در Dgraph، یک پایگاه‌داده متن‌باز توزیع‌شده مبتنی بر GraphQL، باعث افشای خط فرمان پردازش از طریق endpoint بدون احراز هویت /debug/vars در مؤلفه Alpha می‌شود. در بسیاری از استقرارها، توکن مدیریتی از طریق گزینه راه‌اندازی "... = security "token - - تنظیم می‌شود؛ بنابراین افشای خط فرمان می‌تواند منجر به افشای توکن ادمین شود مهاجم می‌تواند این توکن را در هدر X-Dgraph-AuthToken بازاستفاده کند و به endpointهای مدیریتی Dgraph دسترسی غیرمجاز بگیرد. طبق GitHub Advisory، این مشکل گونه‌ای از آسیب‌پذیری قبلی مربوط به /debug/pprof/cmdline است، اما اصلاح قبلی کامل نبوده؛ زیرا فقط مسیر قبلی مسدود شده و http.DefaultServeMux همچنان handler مربوط به expvar و مسیر /debug/vars را ارائه می‌کند.

محصولات تحت تأثیر

• github.com/dgraph-io/dgraph/v25 نسخه‌های قبل از 25.3.3

• برای شاخه‌های قدیمی‌تر، اطلاعات Advisory وضعیت متفاوتی نشان می‌دهد: github.com/dgraph-io/dgraph/v24 تا 24.1.8 و github.com/dgraph-io/dgraph تا 1.2.8 به‌عنوان affected آمده‌اند، اما patched version برای آن‌ها مشخص نشده است.

توصیه‌های امنیتی

• ارتقا به نسخه 25.3.3 یا نسخه اصلاح‌شده متناظر با شاخه مورد استفاده.

• محدود کردن دسترسی شبکه‌ای به پورت HTTP مربوط به Dgraph Alpha.

• جلوگیری از دسترسی عمومی به  endpointهای debug مانند /debug/vars.

• چرخش/تغییر توکن‌های مدیریتی در صورتی که احتمال دسترسی غیرمجاز به  endpointهای debug وجود داشته باشد.

• بررسی لاگ‌ها برای درخواست‌های مشکوک به مسیرهای /debug/vars و endpointهای مدیریتی