CVE-2023-25575
Təsvir
API Platform Core API Platform-ın server komponentidir: hipermedia və GraphQL API-ləri. `ApiPlatform\Metadata\ApiProperty` atributunun `security` seçimi ilə qorunan resurs xassələri icazəsiz istifadəçilərə açıqlana bilər. Problem əksər seriyalaşdırma formatlarına, o cümlədən API Platform quraşdırılarkən defolt olaraq aktivləşdirilən xam JSON-a təsir edir. Fərdi seriyalaşdırma formatları da təsirlənə bilər. Problem yalnız kolleksiya endpoint-lərinə təsir edir, element endpoint-lərinə təsir etmir. JSON-LD formatı problemdən təsirlənmir. Təhlükəsizlik qaydasının nəticəsi yalnız kolleksiyanın ilk elementi üçün icra olunur. Sonra qaydanın nəticəsi keşlənir və növbəti elementlər üçün yenidən istifadə olunur. Bu səhv qayda elementin xassəsinin dəyərindən asılı olduqda məlumatların icazəsiz istifadəçilərə sızmasına səbəb ola bilər. Bu səhv həmçinin icazəli istifadəçilərə göstərilməli olan xassələri gizlədə bilər. Bu problem 2.7, 3.0 və 3.1 budaqlarına təsir edir. Zəhmət olmasa 2.7.10, 3.0.12 və ya 3.1.3 versiyalarına yüksəldin. Müvəqqəti həll olaraq, `ApiPlatform\Metadata\ApiProperty` atributunun security seçimi istifadə olunursa, obyektlər üzərində işləyən fərdi normalizer daxilində Serializer-in kontekst massivinin `cache_key`-ini dəyişdirin.
Necə düzəltmək olar
- api-platform core2.7.10, 3.0.12, 3.1.3 və ya daha yeni versiya
- api-platform/core3.0.12, 3.1.3, 2.7.10 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| api-platform core | 2.6.0 ≤ v < 2.7.10, 3.0.0 ≤ v < 3.0.12, 3.1.0 ≤ v < 3.1.3 | 2.7.10, 3.0.12, 3.1.3 |
| api-platform/corePackagist | 3.0.0 ≤ v < 3.0.12, 3.1.0 ≤ v < 3.1.3, 2.6.0 ≤ v < 2.7.10 | 3.0.12, 3.1.3, 2.7.10 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.