CVE-2026-41328: Dgraph: injeção DQL não autenticada no campo de idioma do NQuad
O Dgraph, banco de dados GraphQL distribuído de código aberto, possui falha crítica que, segundo o registro, permite a um atacante não autenticado ler todos os dados do banco na configuração padrão, sem ACL habilitado. O problema é uma injeção DQL pela tag de idioma das chaves de mutação, e o registro indica correção na versão 25.3.3. O registro informa pontuação CVSS base de 9,1 e valor SSVC de exploração poc, sem inclusão no catálogo KEV.
Visão geral
O registro descreve uma injeção DQL não autenticada no Dgraph, alcançada pela parte de tag de idioma das chaves de mutação JSON. Segundo a descrição, a falha afeta configurações padrão em que ACL não está habilitado e está corrigida na versão 25.3.3. O aviso do fornecedor é a principal referência citada no registro.
Impacto
- A descrição afirma que um atacante não autenticado pode obter acesso de leitura a todos os dados do banco.
- A pontuação base CVSS de 9,1 é informada pelo GitHub como fonte, com alto impacto de confidencialidade e integridade no vetor reportado.
- O CWE atribuído é CWE-943 (neutralização imprópria de elementos especiais na lógica de consulta de dados). O registro não traz o nome do CWE.
Produtos e versões afetados
- Dgraph Dgraph: versões anteriores à 25.3.3.
- Dgraph-io Dgraph: versões anteriores à 25.3.3.
- O registro lista duas entradas de produto com nomes diferentes para o mesmo projeto; isso deve ser confirmado no aviso do fornecedor.
Status de exploração
O indicador do catálogo KEV no registro é falso, portanto nenhuma exploração ativa é confirmada pelas fontes consultadas. O campo SSVC registra exploração como poc, o que indica que existe uma prova de conceito considerada, e o campo automatizável é sim. Essas são avaliações do registro, não confirmações de ataques em ambientes reais.
Correção e mitigação
- Atualize o Dgraph para a versão 25.3.3 ou posterior, que o registro identifica como a versão corrigida.
- Consulte o aviso do fornecedor vinculado no registro para a orientação oficial e eventuais medidas adicionais.
- Habilite ACL e restrinja o acesso de rede a endpoints administrativos e de dados, já que a descrição associa a exposição à configuração padrão sem ACL.
- Limite a exposição da porta HTTP do banco a redes confiáveis até que a atualização seja aplicada.
Orientações de detecção
- Revise os logs de acesso em busca de alterações inesperadas de schema e requisições de mutação incomuns de clientes desconhecidos.
- Verifique definições de predicados ou tags de idioma que não correspondam ao modelo de dados normal da aplicação.
- Audite resultados de consultas recentes e exportações de dados sem vínculo com usuários ou serviços conhecidos.
Limitações das informações disponíveis
- O registro não traz outra fonte de vetor CVSS além do provedor do aviso, nem confirmação independente de exploração.
- O registro não inclui código de exploração, e esta análise não descreve passos operacionais.
- Não é possível saber a partir do registro se versões anteriores tinham alguma mitigação parcial.
- A probabilidade EPSS de 0,0048 é uma estimativa de modelo e não indica exploração observada.
Perguntas frequentes
Quais versões do Dgraph são afetadas?
Segundo o registro, versões do Dgraph anteriores à 25.3.3 são afetadas. O registro lista duas entradas de produto para o mesmo projeto, o que deve ser conferido no aviso do fornecedor.
Esta vulnerabilidade está sendo explorada ativamente?
O indicador KEV no registro é falso, portanto nenhuma exploração ativa é confirmada pelas fontes consultadas. O campo SSVC registra exploração como poc, que é uma avaliação do registro e não uma confirmação de ataques.
Qual é a correção recomendada?
O registro identifica a versão 25.3.3 como a versão corrigida. Atualizar para essa versão ou posterior, habilitar ACL e restringir o acesso de rede são as principais medidas defensivas descritas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.