CVE-2020-4038
Açıklama
1.6.22 sürümünden önceki GraphQL Playground (graphql-playground-html NPM paketi), ciddi bir yansıtmalı XSS saldırısı zafiyetine sahiptir. renderPlaygroundPage() metoduna iletilen tüm temizlenmemiş kullanıcı girdileri bu zafiyeti tetikleyebilir. Bu durum graphql-playground-html 1.6.22 sürümünde düzeltilmiştir. 1.7.16 sürümünden önceki graphql-playground-middleware-express, 1.6.15 sürümünden önceki graphql-playground-middleware-koa, 1.7.17 sürümünden önceki graphql-playground-middleware-lambda ve 1.6.13 sürümünden önceki graphql-playground-middleware-hapi dahil ancak bunlarla sınırlı olmamak üzere bazı ilişkili bağımlı ara katman yazılım paketlerinin de etkilendiğini unutmayın.
Nasıl düzeltilir
- prisma graphql-playground-html1.6.22 ya da sonraki bir sürüm
- prisma graphql-playground-middleware-express1.7.16 ya da sonraki bir sürüm
- prisma graphql-playground-middleware-hapi1.6.13 ya da sonraki bir sürüm
- prisma graphql-playground-middleware-koa1.6.15 ya da sonraki bir sürüm
- prisma graphql-playground-middleware-lambda1.7.17 ya da sonraki bir sürüm
- graphql-playground-html1.6.22 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| prisma graphql-playground-html | v < 1.6.22 | 1.6.22 |
| prisma graphql-playground-middleware-express | v < 1.7.16 | 1.7.16 |
| prisma graphql-playground-middleware-hapi | v < 1.6.13 | 1.6.13 |
| prisma graphql-playground-middleware-koa | v < 1.6.15 | 1.6.15 |
| prisma graphql-playground-middleware-lambda | v < 1.7.17 | 1.7.17 |
| graphql-playground-htmlnpm | v < 1.6.22 | 1.6.22 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.