CVE-2026-49462

NL Portal Backend Libraries, sakinler, müşteriler, tedarikçiler ve ortak kuruluşlarla etkileşime giren Hollanda hükümeti portalları için arka uç bileşenleri sağlar. 3.0.0 dahil önceki sürümlerde, beraberinde gelen varsayılan yapılandırmayı kullanan dağıtımlar, kimlik doğrulama gerektirmeden iki GraphQL geliştirici özelliğini açığa çıkarmaktaydı: GraphQL sorguları göndermek için etkileşimli bir kullanıcı arayüzü olan GraphiQL playground ve çağrının, API'nin desteklediği her sorgunun, mutasyonun, türün ve argümanın tam açıklamasını indirmesine olanak tanıyan şema iç gözlemi (schema introspection). `/graphiql` uç noktasına erişebilen herkes, tarayıcıda playground'u açabilir, tüm şemayı çekebilir ve bunu API'yi haritalandırmak ve ona karşı çağrılar oluşturmak için kullanabilirdi. Bu durum tek başına kullanıcı verilerini sızdırmaz, ancak API'nin geri kalanına yönelik saldırılardaki tahmin yürütme sürecini ortadan kaldırır ve diğer zafiyetlerin bulunması ile istismar edilmesi eşiğini önemli ölçüde düşürür. Sürüm 3.0.1 bu sorunu gidermektedir. Geçici çözüm olarak, dağıtılan yapılandırmadaki bu iki ayarın üzerine yazın.