Anmelden
Deutsch English Español Polski
Mittel

Incorrect Access Control vulnerability in api-platform/core

  • Veröffentlicht: 14.10.2019
  • Aktualisiert: 11.10.2026 10:22

API Platform version from 2.2.0 to 2.3.5 contains an Incorrect Access Control vulnerability in GraphQL delete mutations that can result in a user authorized to delete a resource can delete any resource. This attack appears to be exploitable via the user must be authorized. This vulnerability appears to have been fixed in 2.3.6.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket api-platform/core >= 2.2.0, < 2.2.10, >= 2.3.0, < 2.3.6 2.2.10, 2.3.6

Verweise

CVSS-Wert 6.5/10
CVSS-Vektor
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Schwäche (CWE)
CWE-284
Plattform
Composer
Paket
api-platform/core
Veröffentlicht
14.10.2019
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-974j-wjxx-wggj - CC BY 4.0

Schwachstellenhistorie: api-platform/core

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt
8
Erste → letzte
10.2019 08.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Hoch 3
  • Mittel 5

Veröffentlichungen pro Jahr

  1. API Platform Core: Relation IRIs are not type-checked: a related resource can be denormalised as the wrong resource type (type confusion)
    Mittel · 6.5 CVE-2026-54164 < 4.1.30, >= 4.2.0, < 4.2.26, >= 4.3.0, < 4.3.12 4.1.30, 4.2.26, 4.3.12
  2. API Platform Core vulnerable to cross-user attribute leak in JSON:API and HAL item normalizers due to missing isCacheKeySafe gate
    Mittel · 5.9 CVE-2026-49858 >= 2.6.0, < 4.1.29, >= 4.2.0, < 4.2.25, >= 4.3.0, < 4.3.8 4.1.29, 4.2.25, 4.3.8
  3. GraphQL grant on a property might be cached with different objects
    Hoch · 7.5 CVE-2025-31485 >= 4.0.0-alpha.1, < 4.0.22, < 3.4.17, >= 4.1.0-alpha.1, < 4.1.5 4.0.22, 3.4.17, 4.1.5
  4. GraphQL query operations security can be bypassed
    Hoch · 7.5 CVE-2025-31481 >= 4.0.0-alpha.1, < 4.0.22, < 3.4.17, >= 4.1.0-alpha.1, < 4.1.5 4.0.22, 3.4.17, 4.1.5
  5. API Platform Core can leak exceptions message that may contain sensitive information
    Mittel · 5.3 CVE-2023-47639 >= 3.2.0, < 3.2.5 3.2.5
  6. API Platform Core does not call GraphQl securityAfterResolver
    Mittel · 4.4 CVE-2025-23204 >= 3.3.8, < 3.3.15 3.3.15
  7. api-platform/core's secured properties may be accessible within collections
    Hoch · 7.7 CVE-2023-25575 >= 3.0.0, < 3.0.12, >= 3.1.0, < 3.1.3, >= 2.6.0, < 2.7.10 3.0.12, 3.1.3, 2.7.10
  8. Incorrect Access Control vulnerability in api-platform/core dieser Eintrag
    Mittel · 6.5 CVE-2019-1000011 >= 2.2.0, < 2.2.10, >= 2.3.0, < 2.3.6 2.2.10, 2.3.6

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.