CVE-2025-31481highCWE-863

CVE-2025-31481: falha de alta gravidade em api-platform core

GraphQL query operations security can be bypassed

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar core+ Monitorar api-platform/core

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 0.5%
Em resumo

Uma falha no API Platform Core permite que atacantes burlem as regras de segurança em operações GraphQL ao explorar o tipo especial Relay. Isso significa que usuários não autorizados poderiam executar ações restritas que não deveriam conseguir.

Detalhe técnico

A vulnerabilidade existe no tratamento de tipos especiais Relay do API Platform Core em consultas GraphQL, permitindo que atacantes contornem políticas de segurança configuradas em nível de operação. Um usuário não autenticado ou não autorizado pode executar operações restritas que deveriam ser protegidas por regras de controle de acesso ao construir consultas especialmente formadas direcionadas à interface Relay.

Resumo gerado e traduzido por IA a partir da descrição oficial.
API Platform Core is a system to create hypermedia-driven REST and GraphQL APIs. Using the Relay special node type you can bypass the configured security on an operation. This vulnerability is fixed in 4.0.22 and 3.4.17.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
api-platform · core
CVEs relacionadas — api-platform core

No mesmo produto, das mais perigosas para as menos.

CVE-2025-31485HIGHGraphQL grant on a property might be cached with different objectsEPSS 0.6%CVE-2023-25575HIGHSecured properties in API Platform Core may be accessible within collectionsEPSS 0.6%CVE-2023-47639MEDIUMAPI Platform Core can leak exceptions message that may contain sensitive informationEPSS 0.4%CVE-2026-54164MEDIUMAPI Platform Core: Missing IRI type check enables resource type confusionEPSS 0.3%CVE-2026-49858MEDIUMAPI Platform Core: Cross-user attribute leak in JSON:API and HAL item normalizers due to missing isCacheKeySafe gateEPSS 0.3%CVE-2025-23204MEDIUMGraphQl securityAfterResolver not calledEPSS 0.3%