Le journal DFS
GraphQL
-
Chaskiq : SSRF non authentifiée via une mutation GraphQL
P3 · Critique · CVE-2026-111663 — Chaskiq jusqu’à la version 2.0.3 est vulnérable à une SSRF via la mutation GraphQL createUrlUpload. Un attaquant non authentifié peut…
-
Zimbra : contournement de la limitation des tentatives de connexion via GraphQL
P4 · Faible · CVE-2026-93637 — Zimbra Collaboration Suite présente un contournement de la limitation des tentatives d’authentification via GraphQL : un attaquant non authentifié peut…
-
Dgraph Zero : routes administratives accessibles sans authentification
P3 · Critique · CVE-2026-102748 — Dgraph Zero expose des routes HTTP administratives sans authentification lorsque son interface d’administration est activée. Un attaquant distant pouvant joindre…
-
Phase Console : accès indu à l’historique des secrets via GraphQL
P4 · Moyenne · CVE-2026-110210 — Dans Phase Console, un défaut d’autorisation sur la requête GraphQL `secretHistory` pouvait permettre à des membres d’une organisation dépourvus du…
-
WPGraphQL : récupération de données sensibles par défaut d’autorisation
P4 · Moyenne · CVE-2026-109703 — WPGraphQL est affecté par un défaut d’autorisation pouvant permettre la récupération de données sensibles intégrées. La fiche NVD indique que…
-
GitLab : lecture non autorisée de notes via l’API GraphQL
P4 · Moyenne · CVE-2026-85529 — GitLab CE/EE présentait un défaut d’autorisation dans l’API GraphQL pouvant permettre, sous certaines conditions, à un utilisateur non authentifié de…
-
Parse Server : contournement du contrôle d’introspection GraphQL via le cache de requêtes persistées
P4 · Moyenne · CVE-2026-109302 — Parse Server ne vérifiait pas son contrôle d’introspection GraphQL pour les opérations obtenues depuis le cache Apollo des requêtes persistées…
-
@neo4j/graphql : inversion du quantificateur none dans les filtres d’autorisation
P3 · Élevée · CVE-2026-92682 — Dans @neo4j/graphql de 7.0.0 à toute version antérieure à 7.6.4, le quantificateur none des filtres @authorization de relations et connexions…
-
@neo4j/graphql : contournement de l’authentification sur des champs @cypher
P3 · Critique · CVE-2026-92681 — Dans @neo4j/graphql jusqu’à la version 7.6.3, les directives @authentication au niveau du schéma ou des types Query/Mutation ne protégeaient pas…
-
Parse Server : divulgation de noms de classes par les erreurs GraphQL
P4 · Moyenne · CVE-2026-105828 — Parse Server peut révéler des noms de classes masquées dans des erreurs de validation GraphQL, même lorsque l’introspection publique est…