CVE-2025-64173 in router
Riassunto
di VulDB • 27/07/2026
Apollo Router Core è un router a grafo configurabile scritto in Rust per eseguire una supergraph federata utilizzando Apollo Federation 2. Nelle versioni precedenti alla 1.61.11, nonché nelle versioni da 2.0.0-alpha.0 a 2.8.1-rc.0, una vulnerabilità consentiva query non autenticate di accedere ai dati che richiedevano controlli di accesso aggiuntivi. Il router gestiva in modo errato le direttive di controllo dell'accesso sui tipi/field di interfaccia e sui loro tipi/field oggetto implementanti, applicandole ai tipi/field di interfaccia ignorando le direttive presenti sui rispettivi tipi/field oggetto implementanti quando tutte le implementazioni avevano gli stessi requisiti. I clienti di Apollo Router che definiscono in modo inconsistente le direttive @authenticated, @requiresScopes o @policy su tipi polimorfici (ovvero tipi oggetto che implementano tipi interfaccia) sono interessati da questa problematica. Il problema è stato risolto nelle versioni 1.61.12 e 2.8.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.