p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

Sicherheitslücken in @apollo/composition

In den letzten 30 Tagen veröffentlichte Sicherheitslücken für @apollo/composition: 0. Davon im KEV-Katalog: 0.

RSS ↗ JSON ↗
Sicherheitslücken filtern
Filter zurücksetzen

Sicherheitslücken: 2

  1. GHSA-m8jr-fxqx-8xx6

    Hoch · CVSS 7.5Korrektur verfügbar

    Apollo Federation has Improper Enforcement of Access Control on Transitive Fields

    # Summary A vulnerability in Apollo Federation's composition logic did not enforce that fields depending on protected data through `@requires` and/or `@fromContext` directives have the same access control requirements as the fields they reference. This allowed queries to access protected fields indirectly through their dependencies, bypassing access control checks. A fix to composition logic in Federation now enforces that dependent fields match the access control requirements from of the fields they reference. ## Details Apollo Federation allows users to specify [`@authenticated`, `@requiresScopes`, and `@policy` directives](https://www.apo

    @apollo/composition @apollo/composition @apollo/composition @apollo/compositionNode.js
    • Auf 2.10.4 aktualisieren
    • Auf 2.11.5 aktualisieren
    • Auf 2.12.1 aktualisieren
    • Auf 2.9.5 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  2. CVE-2025-64530

    Hoch · CVSS 7.5EPSS 0,41%Korrektur verfügbar

    @apollo/composition has Improper Enforcement of Access Control on Interface Types and Fields

    Apollo Federation is an architecture for declaratively composing APIs into a unified graph. A vulnerability in versions of Apollo Federation's composition logic prior to 2.9.5, 2.10.4, 2.11.5, and 2.12.1 allowed some queries to Apollo Router to improperly bypass access controls on types/fields. Apollo Federation incorrectly allowed user-defined access control directives on interface types/fields, which could be bypassed by instead querying the implementing object types/fields in Apollo Router via inline fragments, for example. A fix to versions 2.9.5, 2.10.4, 2.11.5, and 2.12.1 of composition logic in Federation now disallows interfaces types

    @apollo/composition @apollo/composition @apollo/composition @apollo/compositionNode.js
    • Auf 2.10.4 aktualisieren
    • Auf 2.11.5 aktualisieren
    • Auf 2.12.1 aktualisieren
    • Auf 2.9.5 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →