Vulnerabilidad en la URL en un esquema en el parámetro de consulta del endpoint en GraphQL Playground (CVE-2021-41249)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

04/11/2021

Última modificación:

09/11/2021

Descripción

GraphQL Playground es un IDE de GraphQL para el desarrollo de aplicaciones centradas en graphQL. Todas las versiones de graphql-playground-react anteriores a graphql-playground-react@1.7.28 son vulnerables a las respuestas de introspección de esquema HTTP comprometidas o a los valores de prop de esquema con nombres de tipo GraphQL maliciosos, exponiendo una superficie de ataque de tipo XSS dinámica que puede permitir una inyección de código en la autocompletación de operaciones. Para que el ataque tenga lugar, el usuario debe cargar un esquema malicioso en graphql-playground. Se presentan varias maneras de que esto ocurra, incluyendo la especificación de la URL a un esquema malicioso en el parámetro de consulta del endpoint. Si un usuario hace clic en un enlace a una instalación de GraphQL Playground que especifica un servidor malicioso, puede ejecutarse un JavaScript arbitrario en el navegador del usuario, que puede ser usado para exfiltrar credenciales de usuario u otros objetivos dañinos. Si es usado graphql-playground-react directamente en su aplicación cliente, actualice a la versión 1.7.28 o posterior

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.70 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

4.70

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:H/Au:N/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 2.60 BAJA
Vector: AV:N/AC:H/Au:N/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno