报告安全问题
报告 Apache HugeGraph 的安全问题
生产环境安全要求
HugeGraph 默认不启用用户认证。生产环境必须启用认证与授权、将 white_ip.status 设为 enable 并启用和维护 IP 白名单，同时按最小权限为账号授权；不得将 Gremlin、Cypher 等查询接口直接暴露到公网。白名单管理方式见 IP 白名单 API。生产部署还必须隔离 Server 进程，可使用 Docker 或 Kubernetes 等容器环境。
Server 标准配置将鉴权代理的审计记录写入 audit-*.log。部署时必须保留并限制这些日志的读取权限。auth.audit_log_rate 只控制每用户的最大日志输出速率，不是审计日志的启停开关。
漏洞报告范围
近期社区已收到较多关于图查询语言灵活性的安全反馈。在 HugeGraph 安全体系整体重构完成前，对于在不启用或跳过 Auth 系统/避开授权身份的前提下执行 DSL 查询的情况，此类已知风险将不再单独视为新漏洞进行处理。
如果在已开启 Auth 系统的环境中仍能以匿名或未授权身份访问并利用漏洞，或者成功绕过 IP 白名单 / 逃逸容器造成严重越权或底层系统破坏，仍属于高危安全漏洞，欢迎向社区报告。
遵循 ASF 的规范，HugeGraph 社区对解决修复项目中的安全问题保持非常积极和开放的态度。
我们强烈建议用户首先向我们的独立安全邮件列表报告此类问题，相关详细的流程规范请参考 ASF SEC 守则。
请注意，安全邮件组适用于报告未公开的安全漏洞并跟进漏洞处理的过程。常规的软件 Bug/Error 报告应该使用 Github Issue/Discussion 或是 HugeGraph-Dev 邮箱组。发送到安全邮件组但与安全问题无关的邮件将被忽略。
独立的安全邮件 (组) 地址为： security@hugegraph.apache.org
安全漏洞处理大体流程如下：
- 报告人私下向 Apache HugeGraph SEC 邮件组报告漏洞 (尽可能包括复现的版本/相关说明/复现方式/影响范围等)
- HugeGraph 项目安全团队与报告人私下合作/商讨漏洞解决方案 (初步确认后可申请
CVE编号予以登记) - 项目创建一个新版本的受漏洞影响的软件包，以提供修复程序
- 合适的时间可公开漏洞的大体问题 & 描述如何应用修复程序 (遵循 ASF 规范，公告中不应携带复现细节等敏感信息)
- 正式的 CVE 发布及相关流程同 ASF-SEC 页面
已发现的安全漏洞 (CVEs)
HugeGraph 主仓库 (Server/PD/Store)
- CVE-2024-27348: HugeGraph-Server - Command execution in gremlin
- CVE-2024-27349: HugeGraph-Server - Bypass whitelist in Auth mode
- CVE-2024-43441: HugeGraph-Server - Fixed JWT Token (Secret)
- CVE-2025-26866: HugeGraph-Server - RAFT and deserialization vulnerability
HugeGraph-Toolchain 仓库 (Hubble/Loader/Client/Tools/..)
- CVE-2024-27347: HugeGraph-Hubble - SSRF in Hubble connection page