CVE-2026-59286
NieznaneStreszczenie
Strona GraphiQL dołączona do Spring for GraphQL ładuje biblioteki JavaScript z publicznego CDN bez kontroli integralności podzasobów (Subresource Integrity). Atakujący może wstrzyknąć złośliwy kod do tych skryptów i wykonać dowolny kod w przeglądarce ładującej stronę GraphiQL. Dotyczy Spring for GraphQL w wersjach 2.0.0-2.0.4, 1.4.0-1.4.6, 1.1.0-1.3.9 oraz 1.0.0-1.0.7.
Ocena ryzyka
Atakujący może przejąć kontrolę nad przeglądarką użytkownika, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków.
Rekomendacja
Zaleca się aktualizację Spring for GraphQL do wersji z poprawką oraz wdrożenie Subresource Integrity dla wszystkich zewnętrznych zasobów.
Oryginalny opis (angielski, źródło NVD)
The GraphiQL page bundled with Spring for GraphQL loads JavaScript libraries from a public CDN, without Subresource Integrity checks. An attacker can inject malicious code in those scripts and execute arbitrary code on the browser loading the GraphiQL page. Spring for GraphQL 2.0.0 - 2.0.4 Spring for GraphQL 1.4.0 - 1.4.6 Spring for GraphQL 1.1.0 - 1.3.9 Spring for GraphQL 1.0.0 - 1.0.7