| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|---|---|
| parse-server | = 9.3.1= 9.5.0≥ 9.4.0, < 9.5.0 | 9.5.0 |
| parse-server | ≥ 9.3.1-alpha.3, < 9.5.0-alpha.10 | 9.5.0-alpha.10 |
When graphQLPublicIntrospection is disabled, __type queries nested inside inline fragments (e.g. ... on Query { __type(name:"User") { name } }) bypass the introspection control, allowing unauthenticated users to perform type reconnaissance. __schema introspection is not affected.
The check was changed from a flat iteration over root-level selections to a recursive walk of all selection sets, detecting __type inside inline fragments at any depth.
Require master key authentication at the network layer (e.g. reverse proxy) for the GraphQL endpoint.
これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン