CVE-2026-41327
CriticalSummary
W Dgraph, otwartoźródłowej rozproszonej bazie danych GraphQL, przed wersją 25.3.3 odkryto podatność, która umożliwia nieautoryzowanemu atakującemu pełny dostęp do wszystkich danych w bazie. Problem występuje w domyślnej konfiguracji Dgraph, gdzie ACL nie jest włączone.
Risk Assessment
Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia atakującym dostęp do wrażliwych danych bez konieczności uwierzytelnienia. Może to prowadzić do wycieku danych i naruszenia prywatności użytkowników.
Recommendation
Zaleca się aktualizację Dgraph do wersji 25.3.3 lub nowszej oraz włączenie kontroli dostępu (ACL) w celu zabezpieczenia bazy danych przed nieautoryzowanym dostępem.
Original NVD description (English source)
Dgraph is an open source distributed GraphQL database. Prior to 25.3.3, a vulnerability has been found in Dgraph that gives an unauthenticated attacker full read access to every piece of data in the database. This affects Dgraph's default configuration where ACL is not enabled. The attack is a single HTTP POST to /mutate?commitNow=true containing a crafted cond field in an upsert mutation. The cond value is concatenated directly into a DQL query string via strings.Builder.WriteString after only a cosmetic strings.Replace transformation. No escaping, parameterization, or structural validation is applied. An attacker injects an additional DQL query block into the cond string, which the DQL parser accepts as a syntactically valid named query block. The injected query executes server-side and its results are returned in the HTTP response. This vulnerability is fixed in 25.3.3.