🔴 《严重安全漏洞：CVE-2026-54061》

CVSS 评分: 严重（9.1）　　状态: Received　　发布时间: 2026-07-08

漏洞简介

CVE-2026-54061 涉及 Dgraph 数据库中的一个严重安全漏洞。Dgraph 是一个开源的分布式 GraphQL 数据库。在版本 25.3.5 之前，Dgraph Alpha 组件在公共 gRPC 端口 :9080 上暴露了用于外部快照导入的远程过程调用（RPCs），且未实施任何身份验证（authentication）或授权（authorization）机制。该漏洞对应 CWE-306（关键功能缺少身份验证）。

具体而言，未经身份验证的网络客户端可以调用 StreamExtSnapshot 接口，并向目标集群的存储（store）发送 Badger 流数据（Badger stream data）。更严重的是，接收端在处理流数据之前会调用 Prepare() 方法，该操作会删除并替换现有的数据库数据。这意味着攻击者可以通过发送恶意构造的流数据，直接覆盖或破坏目标 Dgraph 实例中的全部数据。

影响范围

  • 受影响版本：Dgraph 版本 < 25.3.5
  • 修复版本：Dgraph 版本 25.3.5
  • 攻击条件：攻击者需要能够访问目标 Dgraph Alpha 的 gRPC 端口（默认 :9080），无需任何凭据或网络位置限制（CVSS 攻击向量为网络远程攻击，AV:N）。

风险分析

根据 CVSS 3.1 评分向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H，该漏洞具有以下风险特征：

  • 攻击复杂度低（AC:L）：攻击者无需特殊技巧或条件即可发起攻击。
  • 无需权限（PR:N）：无需任何身份验证信息。
  • 无需用户交互（UI:N）：攻击过程完全自动化，无需受害者操作。
  • 影响范围：仅影响被攻击的组件（S:U），但后果严重。
  • 机密性影响（C:N）：该漏洞不直接导致数据泄露，但攻击者可能通过替换数据间接获取信息。
  • 完整性影响（I:H）：攻击者可以完全破坏或篡改数据库中的全部数据，导致数据完整性彻底丧失。
  • 可用性影响（A:H）：Prepare() 操作会删除现有数据，可能导致服务不可用或需要从备份恢复，造成严重的业务中断。

可能的攻击后果：

  1. 数据损毁：攻击者通过发送恶意 Badger 流数据，可清空或替换整个数据库，导致所有业务数据丢失。
  2. 拒绝服务（DoS）：数据被删除后，依赖该数据库的应用将无法正常运行，造成服务中断。
  3. 权限提升或横向移动：如果攻击者能够控制数据库内容，可能进一步利用数据库中的配置或凭证信息进行内部网络渗透。

建议：所有使用 Dgraph 且版本低于 25.3.5 的用户应立即升级至 v25.3.5 或更高版本。同时，应通过防火墙或网络策略限制对 gRPC 端口 :9080 的访问，仅允许受信任的客户端连接。

🔍 技术细节

字段 值
CVE ID CVE-2026-54061
CVSS 评分 9.1 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
CWE 分类 CWE-306
发布时间 2026-07-08
最后更新 2026-07-08
状态 Received
数据来源 security-advisories@github.com

🔗 参考链接