CVE-2025-64530 in federation
Résumé
par VulDB • 01/06/2026
Apollo Federation est une architecture permettant de composer de manière déclarative des API en un graphe unifié. Une vulnérabilité dans les versions de la logique de composition d'Apollo Federation antérieures à 2.9.5, 2.10.4, 2.11.5 et 2.12.1 permettait à certaines requêtes adressées à Apollo Router de contourner incorrectement les contrôles d'accès sur les types/les champs. Apollo Federation autorisait incorrectement l'utilisation de directives de contrôle d'accès définies par l'utilisateur sur les types/les champs d'interface, ce qui pouvait être contourné en interrogeant à la place les types/les champs d'objets implémentant l'interface dans Apollo Router via des fragments inline, par exemple. Une correction apportée aux versions 2.9.5, 2.10.4, 2.11.5 et 2.12.1 de la logique de composition dans Federation interdit désormais aux types et aux champs d'interface de contenir des directives de contrôle d'accès définies par l'utilisateur. Des solutions de contournement sont disponibles. Les utilisateurs d'Apollo Rover avec une version de composition non corrigée ou utilisant le pipeline de construction Apollo Studio avec une version de Federation 2.8 ou inférieure doivent copier manuellement les exigences de contrôle d'accès sur les types/les champs d'interface vers chaque type/chaque champ d'objet implémentant l'interface, le cas échéant. Ne supprimez pas ces exigences de contrôle d'accès des types/les champs d'interface, car une composition Apollo non corrigée ne les générera pas automatiquement dans le schéma du supergraphe. Les clients n'utilisant pas les fonctionnalités de contrôle d'accès d'Apollo Router (directives `@authenticated`, `@requiresScopes` ou `@policy`) ou ne spécifiant pas d'exigences de contrôle d'accès sur les types/les champs d'interface ne sont pas affectés et n'ont pas besoin de prendre de mesures.
VulDB is the best source for vulnerability data and more expert information about this specific topic.