Dgraph: Endpoint pprof não autenticado vaza token de autenticação de admin

A vulnerabilidade CVE-2026-40173 no Dgraph Alpha expõe um endpoint de depuração não autenticado que revela a linha de comando completa do processo, incluindo o token de administrador configurado através de --security "token=...". Embora esta vulnerabilidade não quebre diretamente a lógica de validação do token, ela expõe a credencial e permite o acesso não autorizado de nível de administrador, reutilizando o token vazado no cabeçalho X-Dgraph-AuthToken`. O risco é alto, especialmente em ambientes onde a segurança do token de administrador é crítica. A exposição da linha de comando completa pode facilitar a compreensão da configuração do sistema, o que poderia levar a outras vulnerabilidades.

Organizations utilizing Dgraph Alpha in production environments, particularly those relying on the admin token for access control, are at significant risk. Deployments with default configurations or those that have not implemented robust security practices are especially vulnerable. Shared hosting environments where multiple users share a Dgraph instance are also at increased risk.

• linux / server:

journalctl -u dgraph -g "debug endpoint"

• generic web:

curl -I http://<dgraph_alpha_ip>:8080/_debug/ | grep -i "X-Dgraph-AuthToken"

1. 2026-04-15Disclosure

   disclosure

1. Reservado2026-04-09
2. Publicada2026-04-15
3. Modificada2026-04-16
4. EPSS atualizado2026-04-23

A principal mitigação é atualizar o Dgraph Alpha para a versão 25.3.2 ou superior. Esta versão corrige a vulnerabilidade removendo o acesso público à API de depuração. Como medida adicional, recomenda-se revisar e restringir as permissões do token de administrador. Além disso, é crucial auditar regularmente a configuração de segurança do Dgraph Alpha e monitorar os logs em busca de atividade suspeita. Desabilitar a API de depuração em ambientes de produção é uma prática de segurança recomendada, mesmo que ela não esteja sendo utilizada ativamente.