PT-2021-17888 · Silverstripe · Silverstripe Graphql Server

Lukereative · Publicado 2021-10-07 · Atualizado 2024-03-06 · CVE-2021-28661

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

**Nome do software vulnerável e versões afetadas:

SilverStripe GraphQL Server, versões 3.x a 3.4.1

Descrição:

O problema diz respeito a um verificador de permissões que não é herdado por uma subclasse de consulta no SilverStripe GraphQL Server.

Recomendações:

Para as versões 3.x a 3.4.1, atualize para uma versão em que este problema esteja resolvido, pois a versão atual não herda corretamente os verificadores de permissões para subclasses de consulta.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

BIT-SILVERSTRIPE-2021-28661

CVE-2021-28661

GHSA-R7RH-G777-G5GX

Produtos afetados

Silverstripe Graphql Server

Referências · 11

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/silverstripe/graphql/CVE-2021-28661.yaml · Exploit
• 🔥 https://silverstripe.org/download/security-releases/CVE-2021-28661 · Exploit
• https://github.com/silverstripe/silverstripe-graphql · Nota
• https://github.com/silverstripe/silverstripe-graphql/pull/407/commits/16961459f681f7b32145296189dfdbcc7715e6ed · Nota
• https://github.com/silverstripe/silverstripe-graphql/releases/tag/3.5.2 · Nota
• https://github.com/silverstripe/silverstripe-graphql/releases · Nota
• https://t.me/cibsecurity/30166 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-28661 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-28661 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-r7rh-g777-g5gx · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-silverstripe-2021-28661 · Aviso do Fabricante