CVE-2026-32621 in federation-internals
Riassunto
di VulDB • 30/07/2026
Apollo Federation è un'architettura per la composizione dichiarativa di API in un grafo unificato. Prima delle versioni 2.9.6, 2.10.5, 2.11.6, 2.12.3 e 2.13.2, esiste una vulnerabilità nell'esecuzione del piano di query all'interno del gateway che potrebbe consentire l'inquinamento (pollution) di Object.prototype in determinati scenari. Un client malintenzionato potrebbe essere in grado di inquinare direttamente Object.prototype nel gateway creando operazioni con alias di campo e/o nomi di variabili che prendono di mira proprietà ereditate dal prototipo. In alternativa, se un subgraph venisse compromesso da un attore malevolo, quest'ultimo potrebbe riuscire a inquinare Object.prototype nel gateway elaborando payload di risposta JSON che mirano a proprietà ereditate dal prototipo. Questa vulnerabilità è risolta nelle versioni 2.9.6, 2.10.5, 2.11.6, 2.12.3 e 2.13.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.