CVE-2025-22151 in strawberry
Tóm tắt
Bởi VulDB • 28/06/2026
Strawberry GraphQL là một thư viện để tạo các API GraphQL. Bắt đầu từ phiên bản 0.182.0 và trước phiên bản 0.257.0, tồn tại lỗ hổng type confusion trong tích hợp relay của Strawberry GraphQL ảnh hưởng đến nhiều tích hợp ORM (Django, SQLAlchemy, Pydantic). Lỗ hổng xảy ra khi nhiều kiểu GraphQL được ánh xạ vào cùng một mô hình cơ sở dữ liệu底层 (underlying model) trong khi sử dụng giao diện node relay. Khi truy vấn cho một kiểu cụ thể bằng trường global node (ví dụ: FruitType:some-id), bộ giải quyết (resolver) có thể trả về sai phiên bản của một kiểu khác được ánh xạ vào cùng mô hình đó (ví dụ: SpecialFruitType). Điều này có thể dẫn đến rò rỉ thông tin nếu kiểu thay thế expose các trường nhạy cảm và tiềm ẩn nguy cơ leo thang đặc quyền (privilege escalation) nếu kiểu thay thế chứa dữ liệu dành cho truy cập hạn chế. Lỗ hổng này đã được sửa trong phiên bản 0.257.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.