CVE-2021-41249

GraphQL Playground, GraphQL yönümlü tətbiqlərin hazırlanması üçün nəzərdə tutulmuş bir GraphQL IDE-dir. [email protected] versiyasından əvvəlki bütün graphql-playground-react versiyaları, kompromisə uğramış HTTP sxem introspeksiyası cavablarına və ya zərərli GraphQL tip adları olan sxem prop dəyərlərinə qarşı həssasdır; bu, əməliyyat avtomatik tamamlama zamanı kod inyeksiyasına imkan verən dinamik saytlararası skriptinq (XSS) hücum səthini ortaya çıxarır. Hücumun baş verməsi üçün istifadəçi graphql-playground-da zərərli sxemi yükləməlidir. Bu, o cümlədən endpoint sorğu parametrində zərərli sxemin URL-nin göstərilməsi daxil olmaqla, bir neçə yolla baş verə bilər. Əgər istifadəçi zərərli serveri təyin edən GraphQL Playground quraşdırmasına keçid linkinə klikləyərsə, istifadəçinin brauzerində ixtiyari JavaScript kodu işləyə bilər ki, bu da istifadəçi etibarnamələrinin oğurlanması və ya digər zərərli məqsədlər üçün istifadə edilə bilər. Əgər siz graphql-playground-react-dən birbaşa müştəri tətbiqinizdə istifadə edirsinizsə, onu 1.7.28 və ya daha yeni versiyaya yeniləyin.