CVE-2025-64530 in federation
Сводка
по VulDB • 01.06.2026
Apollo Federation — это архитектура для декларативного объединения API в единый граф. Уязвимость в логике композиции Apollo Federation в версиях до 2.9.5, 2.10.4, 2.11.5 и 2.12.1 позволяла некоторым запросам к Apollo Router неправильно обходить контроль доступа к типам/полям. Apollo Federation ошибочно разрешала использование пользовательских директив контроля доступа для типов/полей интерфейсов, что можно было обойти, например, путем запроса типов/полей реализующих объектов в Apollo Router с использованием инлайн-фрагментов. В версиях 2.9.5, 2.10.4, 2.11.5 и 2.12.1 логики композиции в Federation теперь запрещается наличие пользовательских директив контроля доступа в типах и полях интерфейсов. Доступны некоторые временные решения. Пользователям Apollo Rover с непропатченной версией композиции или использующим конвейер сборки Apollo Studio с версией Federation 2.8 или ниже следует вручную скопировать требования контроля доступа с типов/полей интерфейсов на каждый реализующий тип/поле объекта, где это уместно. Не удаляйте эти требования контроля доступа из типов/полей интерфейсов, так как непропатченная Apollo Composition не будет автоматически генерировать их в схеме суперграфа. Клиенты, не использующие функции контроля доступа Apollo Router (директивы `@authenticated`, `@requiresScopes` или `@policy`) или не указывающие требования контроля доступа для типов/полей интерфейсов, не затронуты и не нуждаются в принятии каких-либо мер.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.