GHSA-j7xr-4g94-r9h3

Nieznane

Opublikowano: —Przetłumaczono: 01/08/2026(UTC)NVD NIST

Streszczenie

W GraphQL-Ruby przed wersją 2.6.6, podczas korzystania z Execution::Next, błędy autoryzacji nie zatrzymywały prawidłowo wykonania dla pól używających GraphQL::Schema::Resolver i jego podklas (w tym Mutation, RelayClassicMutation i Subscription).

Ocena ryzyka

Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do danych lub operacji, ponieważ mechanizm autoryzacji może zostać pominięty, co może prowadzić do naruszenia poufności i integralności danych.

Rekomendacja

Należy natychmiast zaktualizować bibliotekę GraphQL-Ruby do wersji 2.6.6 lub nowszej, która zawiera poprawkę usuwającą tę podatność.

Inne podatności w GraphQL-Ruby

GHSA-rmxg-5p3r-j6hhNieznane
Podatność w GraphQL::Language::Cache#fetch polega na tym, że pliki cache parsera są odczytywane i przekazywane bezpośrednio do Marshal.load bez uwierzytelniania. Jeśli atakujący umieści spreparowany plik w oczekiwanej ścieżce, a aplikacja wywoła GraphQL::Language::Parser.parse_file, może dojść do wykonania dowolnego kodu.

Oryginalny opis (angielski, źródło NVD)

## Impact In GraphQL-Ruby < v2.6.6, when using Execution::Next, authorization failures did not properly halt execution for fields using GraphQL::Schema::Resolver (and its subclasses, including GraphQL::Schema::Mutation, GraphQL::Schema::RelayClassicMutation, and GraphQL::Schema::Subscription) when

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS