PT-2021-23213 · Graphql+1 · Graphql+2

Ry0Tak · Publicado 2021-11-04 · Atualizado 2021-11-09 · CVE-2021-41249

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:L

Nome do software vulnerável e versões afetadas

Versões do graphql-playground-react anteriores à 1.7.28

Versões do graphiql anteriores à 1.4.7

Descrição

A vulnerabilidade permite que respostas de introspecção de esquema HTTP ou valores de propriedades de esquema sejam comprometidos com nomes de tipos GraphQL maliciosos, expondo uma superfície de ataque XSS dinâmica que pode permitir a injeção de código durante o preenchimento automático de operações. Isso pode ocorrer quando um usuário carrega um esquema malicioso no graphql-playground ou no graphiql, potencialmente ao especificar uma URL para um esquema malicioso no parâmetro de consulta do endpoint. Se um usuário clicar em um link para uma instalação do GraphQL Playground ou do graphiql que especifique um servidor malicioso, JavaScript arbitrário poderá ser executado no navegador do usuário, o que pode ser usado para extrair credenciais do usuário ou para outros fins prejudiciais.

Recomendações

Se você estiver usando o graphql-playground-react diretamente em seu aplicativo cliente, atualize para a versão 1.7.28 ou posterior.

Se você estiver usando o graphql-playground-html ou um pacote cujo nome comece com graphql-playground-middleware- em seu servidor e estiver passando a opção de versão para uma função importada desse pacote, altere essa opção de versão para pelo menos “1.7.28”.

Se você estiver usando o graphql-playground-html ou um pacote cujo nome comece com graphql-playground-middleware- no seu servidor e NÃO estiver passando a opção de versão para uma função importada desse pacote, nenhuma ação é necessária; seu aplicativo carrega automaticamente a versão mais recente do graphql-playground-react a partir do CDN.

Se você

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-41249

GHSA-59R9-6JP6-JCM7

GHSA-X4R7-M2Q9-69C8

Produtos afetados

Graphql

Graphql-Playground-Html

Graphql-Playground-React

Referências · 15

• https://github.com/graphql/graphiql/security/advisories/GHSA-x4r7-m2q9-69c8 · Nota
• https://github.com/graphql/graphiql/commit/cb237eeeaf7333c4954c752122261db7520f7bf4 · Nota
• https://github.com/graphql/graphiql/blob/main/docs/security/2021-introspection-schema-xss.md#2-more-details-on-the-vulnerability · Nota
• https://github.com/graphql/graphiql/commit/b9dec272d89d9c590727fd10d62e4a47e0317fc7#diff-855b77f6310b7e4fb1bcac779cd945092ed49fd759f4684ea391b45101166437R87 · Nota
• https://github.com/graphql/graphiql/commit/6701b0b626e43800e32413590a295e5c1e3d5419#diff-d45eb76aebcffd27d3a123214487116fa95e0b5a11d70a94a0ce3033ce09f879R110 · Nota
• https://github.com/graphql/graphiql · Nota
• https://github.com/graphql/graphql-playground/security/advisories/GHSA-59r9-6jp6-jcm7 · Nota
• https://github.com/graphql/graphql-playground/commit/b8a956006835992f12c46b90384a79ab82bcadad · Correção
• https://github.com/graphql/graphql-playground · Nota
• https://osv.dev/vulnerability/GHSA-x4r7-m2q9-69c8 · Aviso do Fabricante
• https://t.me/cibsecurity/31857 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-59r9-6jp6-jcm7 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41249 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2021-41248 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-41249 · Aviso do Fabricante