概要
オープンソース分散GraphQLデータベース「Dgraph」のバージョン25.3.3未満に、認証不要でデータベース全体を窃取可能なDQLインジェクション脆弱性が存在します。ACLが有効化されていないデフォルト構成が影響を受けます。
攻撃者は /mutate?commitNow=true へのHTTP POSTリクエストで、upsertミューテーション内の cond フィールドに細工した値を送信します。cond 値は strings.Builder.WriteString 経由でDQLクエリ文字列に直接連結され、エスケープやパラメータ化、構造的検証は行われません。注入されたクエリブロックはサーバサイドで実行され、結果がHTTPレスポンスに含まれます。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 9.1（Critical） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な権限レベル | なし |
| CWE | CWE-943（不適切なクエリ構築） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン | 修正バージョン |
|---|---|---|---|
| Dgraph | dgraph-io | 25.3.3未満 | 25.3.3 |
修正バージョンと回避策
- 修正: Dgraph 25.3.3以降へアップデート
- 回避策: ACLを有効化し、ミューテーションエンドポイントへのアクセスを制限
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。