CVE-2026-55414
ŚrednieCVSS 5.3Streszczenie
W bibliotekach NL Portal Backend publiczne resolvery GraphQL getFormDefinitionByObjectenApiUrl oraz przestarzały getFormDefinitionById są dostępne bez uwierzytelniania CommonGroundAuthentication i przekazują URL sterowany przez wywołującego przez ObjectenApiService.getObjectByUrl do ObjectsApiClient.getObjectByUrl, który dołącza uprzywilejowany token Objecten-API. Sprawdzenie zgodności hosta ogranicza żądania do skonfigurowanego hosta Objecten-API, ale nie ogranicza schematu, portu ani ścieżki. Linię 3.0 naprawiono w wersji 3.0.4; biuletyn nie wskazuje poprawionej wersji 3.1.
Ocena ryzyka
Nieuwierzytelniony wywołujący może wywołać żądanie z tokenem do wybranego punktu końcowego na skonfigurowanym hoście, co może prowadzić do wycieku tokenu lub SSRF w obrębie tego hosta. Standardowe wdrożenia nie są narażone na SSRF między hostami, a przechwycenie tokenu wymaga kontroli routingu po stronie atakującego.
Rekomendacja
Zaktualizuj linię 3.0 do wersji 3.0.4 lub nowszej i zweryfikuj, czy używana wersja 3.1 zawiera poprawkę. Rozważ wymuszenie uwierzytelniania na resolverach GraphQL oraz ograniczenie schematu, portu i ścieżki w żądaniach do Objecten-API.
Inne podatności w NL Portal Backend Libraries
Zobacz wszystkie- CVE-2026-54683Średnie
W bibliotekach NL Portal Backend zarówno zapytanie GraphQL getDocumentContent, jak i trasa REST GET /api/documentapi/{documentapi}/document/{documentId}/content pozwalają każdemu uwierzytelnionemu użytkownikowi portalu pobrać dokument bez sprawdzenia własności lub innej autoryzowanej relacji do niego. Użytkownik z ważnym loginem i identyfikatorem dokumentu innej osoby może odczytać jego treść, która może zawierać wrażliwe dane osobowe. Podatność naprawiono w wersji 3.0.3.
- CVE-2026-49463Średnie
Pakiety nl.nl-portal:documenten-api (do wersji 3.0.0) oraz nl.nl-portal:besluiten (od 1.5.0 do 3.0.0) nie weryfikują uprawnień poszczególnych użytkowników w resolverach GraphQL. Uwierzytelniony użytkownik może uzyskać dostęp do dokumentów, decyzji, ścieżek audytu i załączników decyzji należących do innych użytkowników. Wersja 3.0.1 zawiera poprawkę.
- CVE-2026-49462Średnie
W wersjach do 3.0.0 włącznie wdrożenia NL Portal Backend Libraries z domyślną konfiguracją udostępniały bez uwierzytelnienia dwa narzędzia deweloperskie GraphQL: interaktywny playground GraphiQL oraz introspekcję schematu. Każdy, kto miał dostęp do endpointu /graphiql, mógł pobrać pełny schemat API i wykorzystać go do mapowania oraz konstruowania wywołań. Wersja 3.0.1 naprawia problem.
Oryginalny opis (angielski, źródło NVD)
NL Portal Backend Libraries provide backend components for Dutch government portals that interact with residents, customers, suppliers, and partner organizations. From 1.1.0 until 3.0.4, and in 3.1.0, the public getFormDefinitionByObjectenApiUrl and deprecated getFormDefinitionById GraphQL resolvers are reachable without CommonGroundAuthentication and forward a caller-influenced URL through ObjectenApiService.getObjectByUrl to ObjectsApiClient.getObjectByUrl, which attaches the privileged Objecten-API token. The host-equality check restricts requests to the configured Objecten-API host but does not constrain the scheme, port, or path, allowing an unauthenticated caller to induce a token-bearing request to a chosen endpoint on that host. Standard deployments are not exposed to cross-host SSRF, token capture requires attacker-controlled routing on the configured host, and typed deserialization limits returned data to objects shaped like form definitions. The 3.0 release line is fixed in version 3.0.4. The advisory does not identify a fixed 3.1 release.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS