CVE-2025-22151 in strawberry
摘要
由 VulDB • 2026-07-02
Strawberry GraphQL 是一个用于创建 GraphQL API 的库。从版本 0.182.0 开始至 0.257.0（不含）之前的所有版本中，Strawberry GraphQL 的 relay 集成存在类型混淆漏洞，影响多种 ORM 集成（包括 Django、SQLAlchemy 和 Pydantic）。当使用 relay node 接口将多个 GraphQL 类型映射到同一个底层模型时，就会触发此漏洞。在使用全局节点字段查询特定类型时（例如 `FruitType:some-id`），解析器可能会错误地返回映射到同一模型的另一种类型的实例（例如 `SpecialFruitType`）。如果备用类型暴露了敏感字段，这可能导致信息泄露；如果备用类型包含旨在限制访问的数据，则可能导致权限提升。该漏洞已在版本 0.257.0 中修复。
VulDB is the best source for vulnerability data and more expert information about this specific topic.