Guysartorelli

**Nome do software vulnerável e versões afetadas** Silverstripe Admin versões 1.x anteriores à 1.13.19 Silverstripe Admin versões 2.x anteriores à 2.1.8 **Descrição** A vulnerabilidade permite que usuários sem permissões de edição ou exclusão para registros expostos em um `ModelAdmin` ainda possam editar ou excluir registros usando o formulário de importação CSV, desde que tenham permissões de criação. A probabilidade de um usuário ter permissões de criação, mas não de edição ou exclusão, é baixa, mas é possível. Isso não afeta nenhum `ModelAdmin` que tenha o formulário de importação desativado por meio da propriedade pública `showImportForm`. **Recomendações** Para versões do Silverstripe Admin 1.x anteriores à 1.13.19, atualize para a versão 1.13.19 ou posterior. Para versões do Silverstripe Admin 2.x anteriores à 2.1.8, atualize para a versão 2.1.8 ou posterior. Se você tiver uma implementação personalizada de `BulkLoader`, atualize sua implementação para respeitar as permissões quando o valor de retorno de `getCheckPermissions()` for verdadeiro. Se você estiver usando qualquer `BulkLoader` na lógica do seu próprio projeto ou mantiver um módulo que o utilize, considere passar `true` para `setCheckPermissions()` se os dados forem fornecidos pelos usuários.

**Name of the Vulnerable Software and Affected Versions** silverstripe/graphql versions 4.1.1 through 4.2.2 **Description** The issue allows an attacker to execute a denial of service attack against a website with a publicly exposed GraphQL endpoint using a specially crafted GraphQL query. This mostly affects websites with particularly large or complex GraphQL schemas. If the Silverstripe CMS project does not expose a public-facing GraphQL schema, a user account is required to trigger the attack. Hosting the site behind a content delivery network (CDN) may further mitigate the risk. **Recommendations** For versions 4.1.1 and 4.2.2, upgrade to silverstripe/graphql 4.1.2 or 4.2.3 to remedy the vulnerability. As a temporary workaround, consider restricting access to the publicly exposed GraphQL endpoint until the issue is resolved. If the site is hosted behind a CDN, ensure the CDN configuration is up-to-date to maximize the mitigation of the risk.