CVE-2025-22151
Açıklama
Strawberry GraphQL, GraphQL API'leri oluşturmak için kullanılan bir kütüphanedir. 0.182.0 sürümünden başlayarak 0.257.0 sürümünden önceki versiyonlarda, Strawberry GraphQL'in relay entegrasyonunda birden fazla ORM entegrasyonunu (Django, SQLAlchemy, Pydantic) etkileyen bir tip karmaşası (type confusion) zafiyeti bulunmaktadır. Zafiyet, relay node arayüzü kullanılırken birden fazla GraphQL tipinin aynı temel modele eşlendiği durumlarda ortaya çıkar. Global node alanı kullanılarak belirli bir tip sorgulandığında (örneğin, FruitType:some-id), çözücü (resolver) yanlışlıkla aynı modele eşlenmiş farklı bir tip örneğini (örneğin, SpecialFruitType) döndürebilir. Bu durum, alternatif tip hassas alanları açığa çıkarıyorsa bilgi ifşasına ve alternatif tip kısıtlı erişim için tasarlanmış veriler içeriyorsa potansiyel yetki yükseltmeye yol açabilir. Bu zafiyet 0.257.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- strawberry-graphql0.257.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| strawberry-graphqlPyPI | 0.182.0 ≤ v < 0.257.0 | 0.257.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.