CVE-2023-27588
Publiée le 2023-03-14 · Dernière modification le 2026-06-17
Les instances auto-hébergées du moteur GraphQL Hasura sont vulnérables à une faille de traversée de répertoire (path traversal). Un attaquant non authentifié disposant d'un accès réseau peut exploiter cette faille pour lire des fichiers sensibles directement depuis le système de fichiers du serveur. Comme cela ne nécessite aucun privilège particulier ni interaction de l'utilisateur, l'exécution est relativement facile sur les déploiements exposés publiquement.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- security-advisories@github.com
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
Description officielle du NVD (en anglais)
Hasura is an open-source product that provides users GraphQL or REST APIs. A path traversal vulnerability has been discovered within Hasura GraphQL Engine prior to versions 1.3.4, 2.55.1, 2.20.1, and 2.21.0-beta1. Projects running on Hasura Cloud were not vulnerable. Self-hosted Hasura Projects with deployments that are publicly exposed and not protected by a WAF or other HTTP protection layer should be upgraded to version 1.3.4, 2.55.1, 2.20.1, or 2.21.0-beta1 to receive a patch.