PT-2021-23943 · Mercurius+1 · Mercurius+1

Mcollina + 1 · Publicado 2021-12-13 · Atualizado 2021-12-15 · CVE-2021-43801

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

**Nome do software vulnerável e versões afetadas:

Mercurius, versões 8.10.0 a 8.11.1

Descrição:

O problema afeta o Mercurius, um adaptador GraphQL para o Fastify, no qual os usuários podem ser alvo de um ataque de negação de serviço ao enviar um JSON malformado para o endpoint da API /graphql, a menos que estejam utilizando um manipulador de erros personalizado.

Recomendações:

Para as versões 8.10.0 a 8.11.1, atualize para a versão 8.11.2 para resolver o problema.

Como solução alternativa temporária para as versões 8.10.0 a 8.11.1, considere usar um manipulador de erros personalizado para mitigar o risco de exploração.

Correção

Improper Check for Exceptional Conditions

Enumeração de Fraquezas

CWE-754

Identificadores relacionados

CVE-2021-43801

GHSA-273R-RM8G-7F3X

Produtos afetados

Fastify

Mercurius

Referências · 8

• https://github.com/mercurius-js/mercurius · Nota
• https://github.com/mercurius-js/mercurius/pull/678/commits/732b2f895312da8deadd7b173dcd2d141d54b223 · Correção
• https://github.com/mercurius-js/mercurius/issues/677 · Correção
• https://github.com/mercurius-js/mercurius/security/advisories/GHSA-273r-rm8g-7f3x · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-43801 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-273r-rm8g-7f3x · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-43801 · Aviso do Fabricante
• https://t.me/cibsecurity/33886 · Publicação no Telegram