PT-2026-25379
CVE-2026-32621
·
تاريخ النشر
2026-03-13
·
تاريخ التحديث
2026-09-01
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apollo Federation الأقدم من 2.9.6
إصدارات Apollo Federation الأقدم من 2.10.5
إصدارات Apollo Federation الأقدم من 2.11.6
إصدارات Apollo Federation الأقدم من 2.12.3
إصدارات Apollo Federation الأقدم من 2.13.2
الوصف
Apollo Federation هي بنية لتجميع واجهات برمجة التطبيقات (APIs) في رسم بياني موحد. يوجد عيب في تنفيذ خطة الاستعلام داخل البوابة (gateway) يمكن أن يسمح بتلويث
Object.prototype في سيناريوهات معينة. قد يتمكن عميل ضار من تلويث Object.prototype مباشرةً عن طريق صياغة عمليات باستخدام أسماء مستعارة للحقول و/أو أسماء متغيرات تستهدف الخصائص القابلة للوراثة من النموذج الأولي. أو بدلاً من ذلك، في حالة اختراق رسم بياني فرعي، قد يتمكن الجهة الخبيثة من التلويث Object.prototype عن طريق صياغة حمولات استجابة JSON تستهدف الخصائص القابلة للوراثة من النموذج الأولي. ونظرًا لأن Object.prototype مشترك عبر عملية Node.js، فإن الاستغلال الناجح يمكن أن يؤثر على الطلبات اللاحقة الموجهة إلى مثيل البوابة، مما قد يؤدي إلى سلوك غير متوقع للتطبيق، أو تصعيد الامتيازات، أو مشكلات في سلامة البيانات. حتى تاريخ إصدار هذا التنبيه، لم يتم الإبلاغ عن أي حالات استغلال لهذه المشكلة.التوصيات
الترقية إلى إصدار Apollo Federation 2.9.6 أو أحدث.
الترقية إلى إصدار Apollo Federation 2.10.5 أو أحدث.
الترقية إلى إصدار Apollo Federation 2.11.6 أو أحدث.
الترقية إلى إصدار Apollo Federation 2.12.3 أو أحدث.
الترقية إلى إصدار Apollo Federation 2.13.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾