Dgraph é um banco de dados de código aberto distribuído GraphQL. Versão 25.3.1 e anterior contêm uma vulnerabilidade de divulgação credencial não autenticada onde o endpoint /debug/ pprof/cmdline está registrado no mux padrão e acessível sem autenticação, expondo a linha de comando de processo completo, incluindo o token de administrador configurado através da bandeira de inicialização -- security "token=...". Um atacante pode recuperar o token vazado e reutilizá- lo no cabeçalho X- Dgraph- AuthToken para obter acesso não autorizado a endpoints somente de administração, como /admin/ config/ cache_mb, evitando a validação do token de adminAuthHandler. Isto permite acesso administrativo privilegiado não autorizado, incluindo alterações de configuração e ações de controle operacional em qualquer implantação onde a porta Alpha HTTP é alcançada por partes não confiadas. Este problema foi corrigido na versão 25.3.2. O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 40173 foi publicado em 2026 - 04 - 15 T 21: 17: 27.197 Z e última modificação em 2026 - 06 - 17 T 10: 44: 48.950 Z. O seu estado gravado é analisado.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 9.4, gravidade CRÍTICA, vetor CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L, pontuação de exploração 3.9, pontuação de impacto 5.5; CVSS. Classificações de fraqueza associadas: CWE- 200, CWE- 215, CWE- 522.
Os produtos ou plataformas nomeados nos dados de aplicabilidade incluem: dgraph dgraph. O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.