p PatchFirst

PatchFirst · Свежие уязвимости

Уязвимости @apollo/composition

За последние 30 дней в @apollo/composition опубликовано уязвимостей: 0; в каталоге KEV: 0.

RSS ↗ JSON ↗
Фильтры уязвимостей
Сбросить фильтры

Уязвимостей: 2

  1. GHSA-m8jr-fxqx-8xx6

    Высокий · CVSS 7.5Есть исправление

    Apollo Federation has Improper Enforcement of Access Control on Transitive Fields

    # Summary A vulnerability in Apollo Federation's composition logic did not enforce that fields depending on protected data through `@requires` and/or `@fromContext` directives have the same access control requirements as the fields they reference. This allowed queries to access protected fields indirectly through their dependencies, bypassing access control checks. A fix to composition logic in Federation now enforces that dependent fields match the access control requirements from of the fields they reference. ## Details Apollo Federation allows users to specify [`@authenticated`, `@requiresScopes`, and `@policy` directives](https://www.apo

    @apollo/composition @apollo/composition @apollo/composition @apollo/compositionNode.js
    • Обновитесь до 2.10.4
    • Обновитесь до 2.11.5
    • Обновитесь до 2.12.1
    • Обновитесь до 2.9.5
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗Исходное сообщение 3 ↗

  2. CVE-2025-64530

    Высокий · CVSS 7.5EPSS 0,41%Есть исправление

    @apollo/composition has Improper Enforcement of Access Control on Interface Types and Fields

    Apollo Federation is an architecture for declaratively composing APIs into a unified graph. A vulnerability in versions of Apollo Federation's composition logic prior to 2.9.5, 2.10.4, 2.11.5, and 2.12.1 allowed some queries to Apollo Router to improperly bypass access controls on types/fields. Apollo Federation incorrectly allowed user-defined access control directives on interface types/fields, which could be bypassed by instead querying the implementing object types/fields in Apollo Router via inline fragments, for example. A fix to versions 2.9.5, 2.10.4, 2.11.5, and 2.12.1 of composition logic in Federation now disallows interfaces types

    @apollo/composition @apollo/composition @apollo/composition @apollo/compositionNode.js
    • Обновитесь до 2.10.4
    • Обновитесь до 2.11.5
    • Обновитесь до 2.12.1
    • Обновитесь до 2.9.5
    Опубликовано Обновлено
    Исходное сообщение 1 ↗Исходное сообщение 2 ↗

Проверьте свой сервер

Сопоставьте установленный стек и версии со свежими базами уязвимостей.

Проверьте свой сервер →