Django · Django · CVE-2025-22151
**Nome do Software Vulnerável e Versões Afetadas**
Versões do Strawberry GraphQL de 0.182.0 a 0.257.0
**Descrição**
Existe uma vulnerabilidade de confusão de tipos na integração Relay do Strawberry GraphQL, afetando múltiplas integrações ORM, incluindo Django, SQLAlchemy e Pydantic. Este problema ocorre quando múltiplos tipos GraphQL são mapeados para o mesmo modelo subjacente ao utilizar a interface de nó do Relay. Ao consultar um tipo específico usando o campo global node, o resolver pode retornar incorretamente uma instância de um tipo diferente mapeado para o mesmo modelo, potencialmente levando à divulgação de informações se o tipo alternativo expuser campos sensíveis e ao escalonamento de privilégios se o tipo alternativo contiver dados destinados ao acesso restrito.
**Recomendações**
1. Atualize para strawberry-graphql>=0.257.0 para corrigir a vulnerabilidade.
2. Evite mapear múltiplos tipos de Nó Relay para o mesmo modelo como medida de mitigação.
3. Implemente controles de acesso rigorosos no nível de resolução de campo utilizando permissões para minimizar o risco de exploração.
4. Considere utilizar modelos separados para diferentes níveis de acesso dos mesmos dados para reduzir o impacto da vulnerabilidade.
5. Se estiver utilizando strawberry-graphql-django, atualize para strawberry-graphql-django>=0.54.0 para garantir que a correção seja aplicada.