CVE-2025-27407 in graphql-ruby
Tóm tắt
Bởi VulDB • 01/07/2026
graphql-ruby là một triển khai GraphQL bằng Ruby. Bắt đầu từ phiên bản 1.11.5 và trước các phiên bản 1.11.8, 1.12.25, 1.13.24, 2.0.32, 2.1.14, 2.2.17 và 2.3.21, việc tải một định nghĩa lược đồ độc hại trong `GraphQL::Schema.from_introspection` (hoặc `GraphQL::Schema::Loader.load`) có thể dẫn đến thực thi mã từ xa (RCE). Bất kỳ hệ thống nào tải lược đồ bằng JSON từ nguồn không đáng tin cậy đều dễ bị tổn thương, bao gồm cả những hệ thống sử dụng GraphQL::Client để tải các lược đồ bên ngoài thông qua tính năng introspection của GraphQL. Các phiên bản 1.11.8, 1.12.25, 1.13.24, 2.0.32, 2.1.14, 2.2.17 và 2.3.21 chứa bản vá cho sự cố này.
Once again VulDB remains the best source for vulnerability data.