PT-2025-39694
CVE-2025-59845
·
تاريخ النشر
2025-09-26
·
تاريخ التحديث
2026-10-09
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apollo Studio Embeddable Explorer الأقدم من 3.7.3
إصدارات Apollo Studio Embeddable Sandbox الأقدم من 2.7.2
الوصف
تم تحديد ثغرة أمنية تتعلق بتزوير الطلبات عبر المواقع (CSRF) في كل من Apollo Studio Embeddable Explorer و Embeddable Sandbox. السبب الجذري هو عدم التحقق من مصدر الطلب في كود جانب العميل عند التعامل مع أحداث
window.postMessage. يمكن لموقع ويب ضار إرسال رسائل مُصممة بعناية إلى صفحة التضمين، مما قد يؤدي إلى قيام متصفح الضحية بتنفيذ استعلامات أو تعديلات GraphQL عشوائية على خادم GraphQL الخاص بالضحية أثناء تسجيل الدخول باستخدام ملفات تعريف الارتباط الخاصة بالضحية. تسمح هذه الثغرة الأمنية لموقع ويب ضار بإجبار الموقع المعرض للخطر على إرسال طلبات GraphQL إلى مصدره. تبدو الطلبات شرعية، لكن محتوياتها يحددها الموقع الضار. لا يمكن للموقع الضار قراءة الردود على عمليات GraphQL، لكن هذه العمليات قد يكون لها آثار جانبية، مثل تحديث ضوابط الوصول إلى البيانات.التوصيات
قم بالتحديث إلى الإصدار 3.7.3 أو أحدث من Apollo Studio Embeddable Explorer.
قم بالتحديث إلى الإصدار 2.7.2 أو أحدث من Apollo Studio Embeddable Sandbox.
إذا كنت تستخدم Apollo Server، فتأكد من تعيين
NODE ENV=production في بيئة الإنتاج لتجنب تقديم Sandbox المدمج عن غير قصد. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾