CVE-2025-31481highCWE-863

CVE-2025-31481: fallo de gravedad alta en api-platform core

GraphQL query operations security can be bypassed

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear core+ Monitorear api-platform/core

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 0.5%
En resumen

Un fallo en API Platform Core permite a atacantes eludir las reglas de seguridad en operaciones GraphQL aprovechando el tipo especial Relay. Esto significa que usuarios no autorizados podrían ejecutar acciones restringidas que no deberían poder realizar.

Detalle técnico

La vulnerabilidad existe en el manejo de tipos especiales Relay de API Platform Core en consultas GraphQL, permitiendo que atacantes corten políticas de seguridad configuradas a nivel de operación. Un usuario no autenticado o no autorizado puede ejecutar operaciones restringidas que deberían estar protegidas por reglas de control de acceso al construir consultas especialmente formadas dirigidas a la interfaz Relay.

Resumen generado y traducido por IA a partir de la descripción oficial.
API Platform Core is a system to create hypermedia-driven REST and GraphQL APIs. Using the Relay special node type you can bypass the configured security on an operation. This vulnerability is fixed in 4.0.22 and 3.4.17.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
api-platform · core
CVEs relacionadas — api-platform core

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-31485HIGHGraphQL grant on a property might be cached with different objectsEPSS 0.6%CVE-2023-25575HIGHSecured properties in API Platform Core may be accessible within collectionsEPSS 0.6%CVE-2023-47639MEDIUMAPI Platform Core can leak exceptions message that may contain sensitive informationEPSS 0.4%CVE-2026-54164MEDIUMAPI Platform Core: Missing IRI type check enables resource type confusionEPSS 0.3%CVE-2026-49858MEDIUMAPI Platform Core: Cross-user attribute leak in JSON:API and HAL item normalizers due to missing isCacheKeySafe gateEPSS 0.3%CVE-2025-23204MEDIUMGraphQl securityAfterResolver not calledEPSS 0.3%