JVNDB-2026-012786

dgraphにおける複数の脆弱性

Dgraphはオープンソースの分散型GraphQLデータベースです。バージョン25.3.1以前には、認証なしでアクセス可能な/debug/pprof/cmdlineエンドポイントがデフォルトのmuxに登録されており、管理者トークンを含む完全なプロセスコマンドラインが露出する認証されていない資格情報漏洩の脆弱性が存在していました。この管理者トークンは、--security "token=..." 起動フラグで設定されていました。攻撃者は漏洩したトークンを取得し、X-Dgraph-AuthTokenヘッダーで再利用することで、adminAuthHandlerのトークン検証を回避し、/admin/config/cache_mbなどの管理者専用エンドポイントに不正アクセスできます。これにより、信頼されていない第三者がアクセス可能なAlpha HTTPポートを通じて、構成変更や運用制御操作などの不正な特権管理者アクセスを行うことが可能となりました。本問題はバージョン25.3.2で修正されました。

dgraph

• dgraph 25.3.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unauthenticated /debug/pprof/cmdline discloses admin auth token, enabling unauthorized access to protected Alpha admin endpoints  Advisory  dgraph-io/dgraph  GitHub

1. 情報漏えい(CWE-200) [その他]
2. デバッグコードへの重要な情報の挿入(CWE-215) [その他]
3. 認証情報の不十分な保護(CWE-522) [NVD評価]

1. CVE-2026-40173

1. National Vulnerability Database (NVD) : CVE-2026-40173
2. 関連文書 : Release v25.3.2  dgraph-io/dgraph  GitHub

• [2026年04月27日]
    掲載