PT-2025-52691 · Hasura · Hasura Graphql

Dolev Farhi · Publicado 2025-12-22 · Atualizado 2025-12-26 · CVE-2021-47715

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Hasura GraphQL versão 1.3.3

Descrição Existe uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF) no Hasura GraphQL. Atacantes podem injetar URLs de esquema remoto arbitrárias através do endpoint add remote schema. A exploração envolve o envio de solicitações POST manipuladas para o endpoint /v1/query com definições de URL maliciosas, potencialmente permitindo o acesso a recursos de rede internos.

Recomendações Atualize para uma versão mais recente que contenha a correção para esta vulnerabilidade. Como solução temporária, restrinja o acesso ao endpoint add remote schema.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2021-47715

Produtos afetados

Hasura Graphql

Referências · 8

• 🔥 https://exploit-db.com/exploits/49791 · Exploit
• 🔥 https://vulncheck.com/advisories/hasura-graphql-server-side-request-forgery-via-remote-schema-injection · Exploit
• https://github.com/hasura/graphql-engine · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-47715 · Nota de Segurança
• https://t.me/cveNotify/146615 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2003233956880351354 · Publicação no Twitter
• https://t.me/cveNotify/146909 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-47715 · Aviso do Fabricante