CVE-2026-41328 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Dgraph 在 JSON 突变键的语言标签位置存在 **DQL 注入** 漏洞。 💥 **后果**：未认证攻击者可 **读取数据库全部数据**，导致严重信息泄露。

🔍 **CWE**：CWE-943 (不正确的净化用于 DQL 查询中的特殊元素)。 📍 **缺陷点**：**JSON 突变键** 中的 **语言标签位置** 处理不当，导致注入。

📦 **组件**：Dgraph (开源分布式 GraphQL 数据库)。 🏢 **厂商**：dgraph-io。 📅 **版本**：**Dgraph 25.3.3 之前** 的所有版本。

👁️ **权限**：**未认证** (无需登录)。 📂 **数据**：可 **读取数据库全部数据**。 🚫 **其他**：CVSS 显示完整性 (I:H) 受损，但可用性 (A:N) 正常。

🚪 **认证**：**无需认证** (PR:N)。 🌐 **网络**：远程可利用 (AV:N)。 ⚡ **复杂度**：**低** (AC:L)。 👤 **用户交互**：**无** (UI:N)。 📊 **总结**：利用门槛极低，高危。

📜 **PoC**：漏洞数据中 **PoCs 为空** ([])。 🌍 **在野**：数据未提及在野利用。 🔗 **参考**：GitHub Security Advisory (GHSA-x92x-px7w-4gx4) 已确认。

🔎 **自查**：检查 Dgraph 版本是否 **< 25.3.3**。 📝 **特征**：监控 JSON 突变键中 **语言标签** 附近的异常 DQL 注入尝试。 🛠️ **工具**：使用支持 CVE-2026-41328 扫描的漏洞扫描器。

🛡️ **补丁**：官方已发布安全公告 (GHSA-x92x-px7w-4gx4)。 ✅ **修复**：升级至 **Dgraph 25.3.3 或更高版本** 即可修复。

⚠️ **临时规避**：若无补丁，建议 **限制网络访问** (仅内网/可信 IP)。 🔒 **配置**：严格校验输入，禁用不必要的 JSON 突变键语言标签功能（若可配置）。 👀 **监控**：加强日志审计，关注异常查询。

🔥 **优先级**：**紧急**。 📈 **CVSS**：3.1 向量显示 **高危害** (C:H, I:H)。 🚀 **建议**：立即升级版本，未认证远程读取全库数据风险极大。