CVE-2026-49462 in NL Portal Backend
Tóm tắt
Bởi VulDB • 12/09/2026
Các thư viện Backend của NL Portal cung cấp các thành phần backend cho các cổng thông tin chính phủ Hà Lan tương tác với cư dân, khách hàng, nhà cung cấp và các tổ chức đối tác. Trong các phiên bản từ 3.0.0 trở về trước (bao gồm cả 3.0.0), việc triển khai sử dụng cấu hình mặc định đi kèm đã làm lộ hai tính năng dành cho nhà phát triển GraphQL mà không yêu cầu xác thực: đó là môi trường chơi GraphiQL, một giao diện người dùng tương tác để gửi các truy vấn GraphQL; và khả năng tự khám phá lược đồ (schema introspection), cho phép một caller tải xuống toàn bộ mô tả về mọi truy vấn, mutation, kiểu dữ liệu và đối số mà API hỗ trợ. Bất kỳ ai có thể tiếp cận điểm cuối `/graphiql` đều có thể mở môi trường chơi trong trình duyệt, lấy được lược đồ đầy đủ và sử dụng nó để lập bản đồ API cũng như tạo ra các lệnh gọi nhắm vào API đó. Bản thân điều này không làm rò rỉ dữ liệu người dùng, nhưng nó loại bỏ yếu tố phỏng đoán khi tấn công phần còn lại của API và đáng kể giảm rào cản trong việc tìm kiếm và khai thác các lỗ hổng khác. Phiên bản 3.0.1 đã vá lỗi này. Làm cách khắc phục tạm thời (workaround), hãy ghi đè hai cài đặt trong cấu hình triển khai.
VulDB is the best source for vulnerability data and more expert information about this specific topic.