Una vulnerabilidad crítica en la base de datos Dgraph permite a los atacantes eludir la autenticación

Una vulnerabilidad de máxima gravedad en Dgraph, una popular base de datos de gráficos de código abierto. Registrada como CVE-2026-34976, esta falla crítica tiene una puntuación CVSS perfecta de 10,0.

Permite a atacantes remotos no autenticados eludir todos los controles de seguridad, sobrescribir bases de datos enteras, leer archivos confidenciales del servidor y lanzar ataques de falsificación de solicitudes del lado del servidor (SSRF). Vulnerabilidad de la base de datos Dgraph La causa principal de esta vulnerabilidad es un caso clásico de falta de autorización (CWE-862). Como resultado, la base de datos pasa por alto todas las comprobaciones de autenticación y procesa inmediatamente el comando recoveryTenant, lo que permite a cualquier usuario externo restaurar una base de datos desde una URL de respaldo. Debido a que los atacantes pueden activar este comando sin iniciar sesión, pueden proporcionar sus propios parámetros maliciosos para manipular el servidor de varias maneras devastadoras: Sobrescritura completa de la base de datos: un atacante puede alojar una copia de seguridad de la base de datos diseñada en un depósito de almacenamiento en la nube pública, como Amazon S3.

Al enviar una solicitud al servidor Dgraph, pueden obligarlo a recuperar su copia de seguridad maliciosa y sobrescribir la base de datos de destino, destruyendo todos los datos existentes. La publicación La vulnerabilidad crítica de la base de datos Dgraph permite a los atacantes eludir la autenticación apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗