CVE-2025-64173
Açıklama
Apollo Router Core, Apollo Federation 2 kullanarak federasyonel bir süpergraf çalıştırmak için Rust ile yazılmış yapılandırılabilir bir grafik yönlendiricidir. 1.61.11 altındaki sürümlerin yanı sıra 2.0.0-alpha.0 ile 2.8.1-rc.0 arasındaki sürümlerde mevcut olan bir güvenlik açığı, kimlik doğrulaması yapılmamış sorguların ek erişim kontrolleri gerektiren verilere erişmesine izin vermekteydi. Yönlendirici; arayüz türleri/alanları ve bunları uygulayan nesne türleri/alanlarındaki erişim kontrol direktiflerini hatalı işlemiş, tüm uygulamalar aynı gereksinimlere sahip olduğunda direktifleri arayüz türlerine/alanlarına uygularken onları uygulayan nesne türlerinin/alanlarının direktiflerini göz ardı etmiştir. Polimorfik türler (yani arayüz türlerini uygulayan nesne türleri) üzerinde @authenticated, @requiresScopes veya @policy direktiflerini tutarsız şekilde tanımlayan Apollo Router müşterileri etkilenmektedir. Bu sorun 1.61.12 ve 2.8.1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apollographql router | < 1.61.12, >= 2.8.1-rc.0, < 2.8.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.