PT-2022-28172 · Apollo · Apollo Server

Publicado

2022-08-18

·

Atualizado

2022-08-18

Nenhuma

Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do software vulnerável e versões afetadas
Versões 3.0.0 a 3.10.0 do Apollo Server
Descrição
A página inicial padrão do Apollo Server contém código HTML para exibir um comando curl de exemplo. Esse comando fica visível caso o pacote completo da página inicial não possa ser obtido a partir do CDN do Apollo. Em navegadores mais antigos, como o IE11, a URL do servidor é interpolada diretamente nesse comando dentro do navegador a partir de window.location.href sem codificação URI, o que pode permitir a execução de JavaScript controlado por invasores. Esse problema afeta o Apollo Server com a página inicial padrão ativada.
Recomendações
Para resolver o problema, atualize para a versão 3.10.1 ou posterior, na qual o comando curl de exemplo foi removido.
Como solução alternativa temporária, considere desativar a página de destino passando ApolloServerPluginLandingPageDisabled() para a opção plugins de new ApolloServer.

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

GHSA-2FVV-QXRQ-7JQ6

Produtos afetados

Apollo Server