PT-2020-17846 · Graphql · Graphql-Playground-Middleware-Hapi+3

Masato Kinugawa · Publicado 2020-06-08 · Atualizado 2020-06-12 · CVE-2020-4038

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do graphql-playground-html anteriores à 1.6.22

Versões do graphql-playground-middleware-express anteriores à 1.7.16

Versões do graphql-playground-middleware-koa anteriores à 1.6.15

Versões do graphql-playground-middleware-lambda anteriores à 1.7.17

versões do graphql-playground-middleware-hapi anteriores à 1.6.13

Descrição

O problema está relacionado a uma grave vulnerabilidade de ataque XSS por reflexão. Todas as entradas de usuário não sanitizadas passadas para o método renderPlaygroundPage() podem acionar essa vulnerabilidade. A vulnerabilidade afeta não apenas o graphql-playground-html, mas também seus pacotes de middleware dependentes.

Recomendações

Para resolver o problema no graphql-playground-html, atualize para a versão 1.6.22 ou posterior executando yarn add graphql-playground-html@^1.6.22 ou npm install --save graphql-playground-html@^1.6.22.

Para o graphql-playground-middleware-express, siga as etapas de atualização de segurança em https://www.npmjs.com/package/graphql-playground-middleware-express#security-upgrade-steps para atualizar para a versão 1.7.16 ou posterior.

Para o graphql-playground-middleware-koa, siga as etapas de atualização de segurança em https://www.npmjs.com/package/graphql-playground-middleware-koa#security-upgrade-steps para atualizar para a versão 1.6.15 ou posterior.

Para o graphql-playground-middleware-lambda, siga as etapas de atualização de segurança em https://www.npmjs.com/package/graphql-playground-middleware-lambda#security-upgrade-steps para atualizar para a versão 1.7.17 ou posterior.

Para o graphql

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-4038

GHSA-4852-VRH7-28RF

Produtos afetados

Graphql-Playground-Html

Graphql-Playground-Middleware-Express

Graphql-Playground-Middleware-Hapi

Graphql-Playground-Middleware-Lambda

Referências · 7

• https://github.com/prisma-labs/graphql-playground/commit/bf1883db538c97b076801a60677733816cb3cfb7 · Correção
• https://github.com/prisma-labs/graphql-playground/security/advisories/GHSA-4852-vrh7-28rf · Nota
• https://github.com/prisma-labs/graphql-playground#security-details · Nota
• https://github.com/graphql/graphql-playground/security/advisories/GHSA-4852-vrh7-28rf · Nota
• https://osv.dev/vulnerability/GHSA-4852-vrh7-28rf · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-4038 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-4038 · Aviso do Fabricante