CVE-2026-41327: Dgraph: injeção de DQL no campo de condição de upsert
A CVE-2026-41327 afeta versões do Dgraph anteriores à 25.3.3 e, segundo o registro, permite que um atacante remoto sem autenticação leia dados do banco por meio de um campo de condição de upsert sem validação. A configuração padrão, sem ACL habilitado, é descrita como afetada, e o GitHub informa pontuação CVSS base de 9.1. As fontes consultadas indicam a 25.3.3 como versão corrigida e não apontam exploração ativa confirmada.
Visão geral
O Dgraph é um banco de dados GraphQL distribuído de código aberto. Segundo o registro, a CVE-2026-41327 é uma falha de injeção em um campo de condição de uma mutação upsert, classificada como CWE-943. O registro descreve que ela é acessível sem autenticação na configuração padrão, em que o ACL não está habilitado.
Impacto
- O registro afirma que um atacante não autenticado pode obter acesso de leitura completo a todos os dados do banco.
- O GitHub informa pontuação CVSS base de 9.1, com alto impacto na confidencialidade e na integridade e sem impacto na disponibilidade.
- O registro não descreve a extensão da exposição de dados além dessa afirmação.
Produtos e versões afetadas
- O registro lista as entradas Dgraph Dgraph e Dgraph-io Dgraph como afetadas antes da 25.3.3.
- A única versão corrigida informada no registro é a 25.3.3.
- Não há outras versões afetadas ou corrigidas informadas.
Status de exploração
- A CVE não consta no catálogo KEV da CISA no registro, portanto nenhuma exploração ativa é confirmada nas fontes consultadas.
- O valor de exploração SSVC no registro é poc, o que sugere que pode existir material de prova de conceito. Trata-se de uma inferência e não confirma uso real.
- A referência do aviso possui a marcação Exploit, que por si só não estabelece exploração em ambiente real.
Correção e mitigação
- Atualize o Dgraph para a 25.3.3 ou posterior, conforme indicado pelo aviso do fornecedor. Veja o aviso no GitHub.
- Quando a atualização não for possível de imediato, habilitar o ACL é provavelmente uma forma de reduzir a exposição na configuração padrão. Trata-se de uma inferência a validar com a orientação do fornecedor.
- Restrinja o acesso de rede à interface HTTP do banco apenas a clientes confiáveis.
Orientações de detecção
- Revise os logs de acesso HTTP em busca de requisições de mutação vindas de origens inesperadas.
- Observe mutações upsert cujos campos de condição tenham estruturas de consulta incomuns ou mais de um bloco de consulta.
- Monitore volumes de resposta anormalmente grandes na API do banco.
Limitações das informações disponíveis
- O registro não lista versões afetadas além do limite da 25.3.3, portanto a faixa exata de versões vulneráveis é desconhecida.
- O nome do CWE não é informado no registro.
- A probabilidade EPSS de 0.00475, com percentil 0.40133, é uma estimativa de modelo e não confirma exploração.
- Esta análise se baseia apenas no registro e nas referências citadas; o aviso do fornecedor deve ser consultado para detalhes oficiais.
Perguntas frequentes
Quais versões do Dgraph são afetadas pela CVE-2026-41327?
O registro indica que versões do Dgraph anteriores à 25.3.3 são afetadas. Nas fontes consultadas não há outros limites de versão informados.
A configuração padrão do Dgraph importa para este problema?
Sim. O registro afirma que a configuração padrão, em que o ACL não está habilitado, é afetada.
Esta CVE é conhecida por ser explorada em ambiente real?
Não. A CVE não consta no catálogo KEV da CISA no registro e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O valor SSVC poc sugere que pode existir material de prova de conceito.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.