FICHE CVE

CVE-2025-31485

Publiée le 2025-04-03 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications utilisant API Platform Core pour des API REST ou GraphQL sont affectées par une erreur de mise en cache pouvant entraîner la fuite de données sensibles. Un attaquant distant non authentifié peut exploiter cette faille pour consulter des informations provenant d'autres objets auxquels il ne devrait pas avoir accès. Cette attaque est facile à exécuter car elle ne nécessite aucun privilège particulier ni interaction de l'utilisateur.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-696

Publiée2025-04-03

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

API Platform Core is a system to create hypermedia-driven REST and GraphQL APIs. Prior to 4.0.22 and 3.4.17, a GraphQL grant on a property might be cached with different objects. The ApiPlatform\GraphQl\Serializer\ItemNormalizer::isCacheKeySafe() method is meant to prevent the caching but the parent::normalize method that is called afterwards still creates the cache key and causes the issue. This vulnerability is fixed in 4.0.22 and 3.4.17.