В API Platform Core существует уязвимость, связанная с кэшированием грантов GraphQL с разными объектами, что может привести к несанкциониро…
В API Platform Core существует уязвимость, связанная с кэшированием грантов GraphQL с разными объектами, что может привести к несанкционированному доступу к конфиденциальным данным. Для устранения уязвимости рекомендуется обновить API Platform Core до версии 4.0.22 или 3.4.17. Источники: - [1] https://github.com/api-platform/core/security/advisories/GHSA-428q-q3vv-3fq3 - [2] https://github.com/api-platform/core/commit/7af65aad13037d7649348ee3dcd88e084ef771f8 - [3] https://github.com/api-platform/core/commit/cba3acfbd517763cf320167250c5bed6d569696a - [4] https://github.com/api-platform/core/releases/tag/v3.4.17
Программный продукт выполняет несколько связанных операций, однако в неверном порядке, что может порождать производные слабости.
https://cwe.mitre.org/data/definitions/696.html →Открыть в коллекции CWE →Злоумышленник способен эффективно расшифровывать данные, не зная ключа дешифрования, если целевая система раскрывает информацию о том, возникла ли ошибка дополнения при расшифровке зашифртекста. Целевая система, утечку такой информации, становится оракулом дополнения, а злоумышленник может использовать этот оракул для эффективной расшифровки данных без знания ключа дешифрования, выполнив в среднем 128*b обращений к оракулу дополнения (где b — количество байт в блоке зашифртекста). Помимо расшифровки, злоумышленник способен также формировать корректные зашифртексты (то есть выполнять шифрование) с использованием оракула дополнения, не зная ключа шифрования.
https://capec.mitre.org/data/definitions/463.html →Открыть в коллекции CAPEC →