PT-2025-4385 · Django+2 · Django+3
Jamietdavidson
·
Publicado
2025-01-09
·
Atualizado
2025-01-09
·
CVE-2025-22151
CVSS v3.1
3.7
Baixa
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Strawberry GraphQL de 0.182.0 a 0.257.0
Descrição
Existe uma vulnerabilidade de confusão de tipos na integração Relay do Strawberry GraphQL, afetando múltiplas integrações ORM, incluindo Django, SQLAlchemy e Pydantic. Este problema ocorre quando múltiplos tipos GraphQL são mapeados para o mesmo modelo subjacente ao utilizar a interface de nó do Relay. Ao consultar um tipo específico usando o campo global node, o resolver pode retornar incorretamente uma instância de um tipo diferente mapeado para o mesmo modelo, potencialmente levando à divulgação de informações se o tipo alternativo expuser campos sensíveis e ao escalonamento de privilégios se o tipo alternativo contiver dados destinados ao acesso restrito.
Recomendações
- Atualize para strawberry-graphql>=0.257.0 para corrigir a vulnerabilidade.
- Evite mapear múltiplos tipos de Nó Relay para o mesmo modelo como medida de mitigação.
- Implemente controles de acesso rigorosos no nível de resolução de campo utilizando permissões para minimizar o risco de exploração.
- Considere utilizar modelos separados para diferentes níveis de acesso dos mesmos dados para reduzir o impacto da vulnerabilidade.
- Se estiver utilizando strawberry-graphql-django, atualize para strawberry-graphql-django>=0.54.0 para garantir que a correção seja aplicada.
Exploit
Correção
Type Confusion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Django
Pydantic
Sqlalchemy
Strawberry Graphql