CVE-2021-41249
Açıklama
GraphQL Playground, GraphQL odaklı uygulamaların geliştirilmesi için bir GraphQL IDE'sidir. [email protected]'den eski tüm graphql-playground-react sürümleri, kötü amaçlı GraphQL tür adları içeren ele geçirilmiş HTTP şema inceleme yanıtlarına veya şema prop değerlerine karşı savunmasızdır ve işlem otomatik tamamlamasında kod enjeksiyonuna olanak tanıyabilecek dinamik bir XSS saldırı yüzeyi oluşturur. Saldırının gerçekleşebilmesi için kullanıcının graphql-playground içinde kötü amaçlı bir şema yüklemesi gerekir. Bu, endpoint sorgu parametresinde kötü amaçlı bir şemanın URL'sinin belirtilmesi de dahil olmak üzere çeşitli şekillerde gerçekleşebilir. Bir kullanıcı kötü amaçlı bir sunucu belirten bir GraphQL Playground kurulumuna ait bağlantıya tıklarsa, kullanıcının tarayıcısında rastgele JavaScript çalışabilir ve bu, kullanıcı kimlik bilgilerinin sızdırılması veya diğer zararlı amaçlar için kullanılabilir. graphql-playground-react'i istemci uygulamanızda doğrudan kullanıyorsanız, 1.7.28 veya sonraki bir sürüme yükseltin.
Nasıl düzeltilir
- graphql playground1.7.28 ya da sonraki bir sürüm
- graphql-playground-react1.7.28 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| graphql playground | v < 1.7.28 | 1.7.28 |
| graphql-playground-reactnpm | v < 1.7.28 | 1.7.28 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.