Mittel

Silverstripe has Incorrect Default Permissions

Veröffentlicht: 24.05.2022
Aktualisiert: 11.10.2026 10:22

SilverStripe 4.5.0 allows attackers to read certain records that should not have been placed into a result set. This affects silverstripe/recipe-cms. The automatic permission-checking mechanism in the silverstripe/graphql module does not provide complete protection against lists that are limited (e.g., through pagination), resulting in records that should have failed a permission check being added to the final result set. GraphQL endpoints are configured by default (e.g., for assets), but the admin/graphql endpoint is access protected by default. This limits the vulnerability to all authenticated users, including those with limited permissions (e.g., where viewing records exposed through admin/graphql requires administrator permissions). However, if custom GraphQL endpoints have been configured for a specific implementation (usually under /graphql), this vulnerability could also be exploited through unauthenticated requests. This vulnerability only applies to reading records; it does not allow unauthorised changing of records.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	silverstripe/graphql	>= 3.2.0, < 3.2.4	3.2.4
Composer-Paket	silverstripe/recipe-cms	>= 4.5.0, < 4.5.3	4.5.3

Verweise

CVSS-Wert 5.3/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Schwäche (CWE): CWE-276
Plattform: Composer
Paket: silverstripe/graphql, silverstripe/recipe-cms
Veröffentlicht: 24.05.2022
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-589q-75r3-mfq4 - CC BY 4.0

Schwachstellenhistorie: silverstripe/graphql

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 8
Erste → letzte: 06.2021 05.2024
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 4
Mittel 4

Veröffentlichungen pro Jahr

2021: 2
2022: 2
2023: 2
2024: 2
2025: 0
2026: 0

28.05.2024

silverstripe/graphql Cross-Site Request Forgery vulnerability

Hoch · 7.3 ghsa-wjg9-v8cf-f5q2 >= 2.0.0, < 2.0.3 2.0.3
23.01.2024

View permissions are bypassed for paginated lists of ORM data

Mittel · 5.3 CVE-2023-44401 >= 4.0.0, < 4.3.7, >= 5.0.0, < 5.1.3 4.3.7, 5.1.3
17.10.2023

Silverstripe GraphQL has DDOS Vulnerability due to lack of protection against recursive queries

Hoch · 7.5 CVE-2023-40180 >= 3.0.0, < 3.8.2, >= 4.0.0, < 4.1.3, >= 4.2.0, < 4.2.5, >= 4.3.0, < 4.3.4, >= 5.0.0, < 5.0.3 3.8.2, 4.1.3, 4.2.5, 4.3.4, 5.0.3
16.03.2023

DDOS attack on graphql endpoints

Hoch · 7.5 CVE-2023-28104 >= 4.1.1, < 4.1.2, >= 4.2.2, < 4.2.3 4.1.2, 4.2.3
24.05.2022

Silverstripe has Incorrect Default Permissions dieser Eintrag

Mittel · 5.3 CVE-2020-6165 >= 3.2.0, < 3.2.4 3.2.4
24.05.2022

Silverstripe CSRF Protection Bypass via GraphQL

Hoch · 8.8 CVE-2019-12437 >= 2.0.0, < 2.0.5, >= 3.1.0, < 3.1.2 2.0.5, 3.1.2
12.10.2021

SilverStripe GraphQL Server permission checker not inherited by query subclass.

Mittel · 4.3 CVE-2021-28661 >= 3.0.0, < 3.5.2 3.5.2
10.06.2021

Authentication bypass in SilverStripe GraphQL

Mittel · 6.5 CVE-2020-26136 >= 3.0.0, < 3.5.0, >= 4.0.0-alpha1, < 4.0.0-alpha2 3.5.0, 4.0.0-alpha2

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden