CVE-2020-4038 in graphql-playground-html

Tóm tắt

Bởi VulDB • 21/07/2026

GraphQL Playground (thư viện NPM graphql-playground-html) trước phiên bản 1.6.22 có lỗ hổng nghiêm trọng về tấn công XSS phản xạ (Reflected XSS). Mọi đầu vào của người dùng chưa được kiểm tra kỹ lưỡng khi truyền vào phương thức renderPlaygroundPage() đều có thể kích hoạt lỗ hổng này. Lỗ hổng đã được vá trong phiên bản graphql-playground-html 1.6.22. Lưu ý rằng một số gói middleware phụ thuộc liên quan cũng bị ảnh hưởng, bao gồm nhưng không giới hạn ở: graphql-playground-middleware-express trước phiên bản 1.7.16, graphql-playground-middleware-koa trước phiên bản 1.6.15, graphql-playground-middleware-lambda trước phiên bản 1.7.17 và graphql-playground-middleware-hapi trước phiên bản 1.6.13.

Be aware that VulDB is the high quality source for vulnerability data.

• chịu trách nhiệm: GitHub, Inc.
• Đặt trước: 30/12/2019
• Kiểm duyệt: được chấp nhận
• mục: VDB-156278
• CPE: 30/12/2019
• CWE: CWE-79 (Đã xác nhận)
• CVSS: 7.4 (NVD)
• EPSS: 0.07243
• KEV: không
• Các hoạt động: rất thấp
• ngành: Telecommunication, Pharma, ...

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2020-4038
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2020-4038
• CVE Details: https://www.cvedetails.com/cve/CVE-2020-4038/