CVE-2021-41248

GraphiQL, GraphQL Foundation-ın rəsmi layihəsi olan bu monoreponun etalon tətbiqi və GraphQL IDE-dir. [email protected] versiyasından köhnə olan bütün GraphiQL versiyaları kompromisə uğramış HTTP sxem introspeksiyası cavablarına və ya zərərli GraphQL tip adları olan sxem mülkiyyət dəyərlərinə qarşı həssasdır ki, bu da əməliyyat avtomatik tamamlama zamanı kod inyeksiyasına imkan verən dinamik XSS hücum səthini ortaya çıxarır. Hücumun baş verməsi üçün istifadəçi GraphiQL-də həssas sxemi yükləməlidir. Bunun bir neçə yolu ola bilər. Defolt olaraq, sxem URL-i GraphiQL-də, onun təklif olunan tətbiqlərində və ya nümunələrində hücumçu tərəfindən idarə edilmir, bu da yalnız çox mürəkkəb hücum vektorlarını saxlayır. Əgər GraphiQL-in fetiçerinin (fetcher) xüsusi tətbiqi sxem URL-inin dinamik şəkildə təyin edilməsinə icazə verirsə (məsələn, graphql-playground-dakı ?endpoint= kimi URL sorğu parametri və ya verilənlər bazası tərəfindən təmin edilən dəyər), onda bu xüsusi GraphiQL tətbiqi fişinq hücumlarına və beləliklə daha asanlıqla həyata keçirilə bilən, aşağı imtiyazlı və ya heç bir imtiyaz tələb etməyən XSS hücumlarına qarşı həssasdır. URL-lər hər hansı standart GraphQL sxem URL-inə bənzəyə bilər. Qeyd edilməlidir ki, Altair, Insomnia, Postwoman kimi masaüstü kliyentlərin buna təsir etmədiyi görünür. Bu zəiflik codemirror-graphql, monaco-graphql və digər asılılıqlara təsir etmir, çünki o, GraphiQL-də onHasCompletion.ts faylında mövcuddur. Lakin bu, GraphiQL-in bütün fork-larına və buraxılmış hər bir versiyasına təsir edir.