PT-2025-52690 · Hasura · Hasura Graphql

Dolev Farhi · Publicado 2025-12-22 · Atualizado 2025-12-26 · CVE-2021-47714

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Hasura GraphQL versão 1.3.3

Descrição O Hasura GraphQL versão 1.3.3 apresenta uma vulnerabilidade de leitura de arquivo local. Atacantes podem acessar arquivos do sistema através de injeção de SQL no endpoint de consulta. A exploração envolve a função pg read file() do PostgreSQL por meio de consultas SQL manipuladas para ler arquivos arbitrários no servidor. O endpoint vulnerável é '/api/v1/query'. A função vulnerável é pg read file(). O parâmetro vulnerável é a própria consulta SQL.

Recomendações Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como medida de contorno temporária, restrinja o acesso ao endpoint de consulta '/api/v1/query' para minimizar o risco de exploração.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-47714

Produtos afetados

Hasura Graphql

Referências · 8

• 🔥 https://exploit-db.com/exploits/49790 · Exploit
• 🔥 https://vulncheck.com/advisories/hasura-graphql-local-file-read-via-sql-injection · Exploit
• https://github.com/hasura/graphql-engine · Nota
• https://osv.dev/vulnerability/CVE-2021-47714 · Aviso do Fabricante
• https://t.me/cveNotify/146614 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2003233957777932311 · Publicação no Twitter
• https://t.me/cveNotify/146908 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-47714 · Nota de Segurança