CVE-2025-64530

Apollo Federation API-ləri deklarativ şəkildə vahid qrafa birləşdirmək üçün nəzərdə tutulmuş bir arxitekturadır. Apollo Federation-ın kompozisiya məntiqinin 2.9.5, 2.10.4, 2.11.5 və 2.12.1 versiyalarından əvvəlki versiyalarında olan boşluq, bəzi sorğuların Apollo Router-də tiplər/sahələr üzrindəki giriş nəzarətini (access control) yanlış şəkildə yan keçməsinə şərait yaradırdı. Apollo Federation interfeys tipləri/sahələri üzərində istifadəçi tərəfindən təyin edilmiş giriş nəzarəti direktivlərinə yanlış şəkildə icazə verirdi ki, bu da, məsələn, Apollo Router-də inline fragmentlər vasitəsilə həmin interfeysi reallaşdıran obyekt tiplərini/sahələrini sorğulayaraq yan keçilə bilərdi. Federation kompozisiya məntiqinin 2.9.5, 2.10.4, 2.11.5 və 2.12.1 versiyalarında tətbiq edilən düzəliş artıq interfeys tiplərinin və sahələrinin istifadəçi tərəfindən təyin edilmiş giriş nəzarəti direktivləri ehtiva etməsinə icazə vermir. Bəzi müvəqqəti həll yolları mövcuddur. Yamaqlanmamış kompozisiya versiyasından istifadə edən Apollo Rover istifadəçiləri və ya Federation versiyası 2.8 və ya daha aşağı olan Apollo Studio build konveyerindən istifadə edənlər, interfeys tipləri/sahələri üzərindəki giriş nəzarəti tələblərini müvafiq olaraq hər bir reallaşdırıcı obyekt tipinə/sahəsinə əllə kopyalamalıdırlar. Həmin giriş nəzarəti tələblərini interfeys tiplərindən/sahələrindən silməyin, çünki yamaqlanmamış Apollo Composition onları supergraph sxemində avtomatik yaratmayacaqdır. Apollo Router-in giriş nəzarəti funksiyalarından (`@authenticated`, `@requiresScopes` və ya `@policy` direktivləri) istifadə etməyən və ya interfeys tipləri/sahələri üzərində giriş nəzarəti tələbləri təyin etməyən müştərilər bundan təsirlənmir və heç bir tədbir görmələrinə ehtiyac yoxdur.