CVE-2023-25575
Açıklama
API Platform Core, API Platform: hypermedia ve GraphQL API'lerinin sunucu bileşenidir. `ApiPlatform\Metadata\ApiProperty` özniteliğinin `security` seçeneği ile korunan kaynak özellikleri, yetkisiz kullanıcılara ifşa edilebilir. Sorun, API Platform kurulduğunda varsayılan olarak etkinleştirilen ham JSON dahil çoğu serileştirme formatını etkilemektedir. Özel serileştirme formatları da etkilenebilir. Sorundan yalnızca koleksiyon uç noktaları etkilenmekte olup, öğe uç noktaları etkilenmemektedir. JSON-LD formatı bu sorundan etkilenmez. Güvenlik kuralının sonucu yalnızca koleksiyonun ilk öğesi için yürütülür. Kuralın sonucu daha sonra önbelleğe alınır ve sonraki öğeler için yeniden kullanılır. Bu hata, kural bir öğenin özelliğinin değerine bağlı olduğunda yetkisiz kullanıcılara veri sızdırabilir. Ayrıca bu hata, yetkili kullanıcılara gösterilmesi gereken özelliklerin gizlenmesine neden olabilir. Bu sorun 2.7, 3.0 ve 3.1 dallarını etkilemektedir. Lütfen 2.7.10, 3.0.12 veya 3.1.3 sürümlerine yükseltin. Geçici bir çözüm olarak, `ApiPlatform\Metadata\ApiProperty` özniteliğinin security seçeneği kullanılıyorsa, nesneler üzerinde çalışan özel bir normalizer içindeki Serializer bağlam dizisinin `cache_key` değerini değiştirin.
Nasıl düzeltilir
- api-platform core2.7.10, 3.0.12, 3.1.3 ya da sonraki bir sürüm
- api-platform/core3.0.12, 3.1.3, 2.7.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| api-platform core | 2.6.0 ≤ v < 2.7.10, 3.0.0 ≤ v < 3.0.12, 3.1.0 ≤ v < 3.1.3 | 2.7.10, 3.0.12, 3.1.3 |
| api-platform/corePackagist | 3.0.0 ≤ v < 3.0.12, 3.1.0 ≤ v < 3.1.3, 2.6.0 ≤ v < 2.7.10 | 3.0.12, 3.1.3, 2.7.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.