CVE-2026-54698
Təsvir
Hasura istifadəçilərə GraphQL və ya REST API-ləri təqdim edən açıq mənbəli məhsuldur. 2.49.2 və 2.45.5 versiyalarından əvvəl istifadəçi cədvəl üzərində hesablanmış sahədə (SETOF some_table qaytaran) where bəndindən istifadə edərək, some_table-ın sətir səviyyəli icazələrinə əsasən öz rolu üçün filtrlənməli olan sətir dəyərlərini çıxara bilərdi. Belə sətirlər birbaşa qaytarıla bilməsə də, məsələn, sətirlər üzərində predikatlar where bəndini oracle kimi istifadə etməklə dəyərlərin səmərəli şəkildə brute force edilməsinə imkan verir. Bu problem 2.49.2 və 2.45.5 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| hasura graphql_engine | 2.45.0 ≤ v ≤ 2.45.5, 2.46.0 ≤ v ≤ 2.49.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.