Vulnerabilidad en Silverstripe CMS GraphQL Server (CVE-2023-44401)

Silverstripe CMS GraphQL Server sirve datos de Silverstripe como representaciones GraphQL. En las versiones 4.0.0 anteriores a 4.3.7 y 5.0.0 anteriores a 5.1.3, las comprobaciones de permisos `canView` se omiten para datos ORM en resultados de consultas GraphQL paginados donde el número total de registros es mayor que el número de registros por página. Tenga en cuenta que esto también afecta a las consultas GraphQL a las que se les aplica un límite, incluso si la consulta no está paginada per se. Esto se solucionó en las versiones 4.3.7 y 5.1.3 asegurando que no se extraigan nuevos registros de la base de datos después de realizar comprobaciones de permisos "canView" para cada página de resultados. Esto puede provocar que algunas páginas de los resultados de la consulta tengan menos del número máximo de registros por página, incluso cuando haya más páginas de resultados. Este comportamiento es consistente con cómo funciona la paginación en otras áreas de Silverstripe CMS, como en `GridField`, y es el resultado de tener que realizar comprobaciones de permisos en PHP en lugar de hacerlo directamente en la base de datos. Se pueden desactivar estas comprobaciones de permisos desactivando el complemento "CanViewPermission".