CVE-2025-64530 in federation
Riassunto
di VulDB • 19/06/2026
Apollo Federation è un'architettura per la composizione dichiarativa di API in un grafo unificato. Una vulnerabilità nella logica di composizione di Apollo Federation nelle versioni precedenti alla 2.9.5, 2.10.4, 2.11.5 e 2.12.1 consentiva ad alcune query dirette ad Apollo Router di eludere impropriamente i controlli di accesso su tipi/campi. Apollo Federation consentiva erroneamente l'uso di direttive di controllo di accesso definite dall'utente su tipi/campi di interfaccia, che potevano essere aggirate interrogando invece i tipi/campi degli oggetti implementatori in Apollo Router tramite frammenti inline, ad esempio. Una correzione nelle versioni 2.9.5, 2.10.4, 2.11.5 e 2.12.1 della logica di composizione in Federation non consente più ai tipi e ai campi di interfaccia di contenere direttive di controllo di accesso definite dall'utente. Sono disponibili alcune soluzioni alternative (workaround). Gli utenti di Apollo Router con una versione della composizione non patchata o che utilizzano la pipeline di build di Apollo Studio con una versione di Federation 2.8 o inferiore dovrebbero copiare manualmente i requisiti di controllo di accesso sui tipi/campi di interfaccia su ciascun tipo/campo di oggetto implementatore, dove appropriato. Non rimuovere tali requisiti di controllo di accesso dai tipi/campi di interfaccia, poiché Apollo Composition non patchato non li genererà automaticamente nello schema del supergrafo. I clienti che non utilizzano le funzionalità di controllo di accesso di Apollo Router (direttive `@authenticated`, `@requiresScopes` o `@policy`) o che non specificano requisiti di controllo di accesso sui tipi/campi di interfaccia non sono interessati e non devono intraprendere azioni.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.