CVE-2023-44401
Silverstripe GraqhQL's view permissions are bypassed for paginated lists of ORM data
Severity Score
Exploit Likelihood
Affected Versions
Public Exploits
0Exploited in Wild
-Decision
Descriptions
The Silverstripe CMS GraphQL Server serves Silverstripe data as GraphQL representations. In versions 4.0.0 prior to 4.3.7 and 5.0.0 prior to 5.1.3, `canView` permission checks are bypassed for ORM data in paginated GraphQL query results where the total number of records is greater than the number of records per page. Note that this also affects GraphQL queries which have a limit applied, even if the query isn’t paginated per se. This has been fixed in versions 4.3.7 and 5.1.3 by ensuring no new records are pulled in from the database after performing `canView` permission checks for each page of results. This may result in some pages in the query results having less than the maximum number of records per page even when there are more pages of results. This behavior is consistent with how pagination works in other areas of Silverstripe CMS, such as in `GridField`, and is a result of having to perform permission checks in PHP rather than in the database directly. One may disable these permission checks by disabling the `CanViewPermission` plugin.
Silverstripe CMS GraphQL Server sirve datos de Silverstripe como representaciones GraphQL. En las versiones 4.0.0 anteriores a 4.3.7 y 5.0.0 anteriores a 5.1.3, las comprobaciones de permisos `canView` se omiten para datos ORM en resultados de consultas GraphQL paginados donde el número total de registros es mayor que el número de registros por página. Tenga en cuenta que esto también afecta a las consultas GraphQL a las que se les aplica un límite, incluso si la consulta no está paginada per se. Esto se solucionó en las versiones 4.3.7 y 5.1.3 asegurando que no se extraigan nuevos registros de la base de datos después de realizar comprobaciones de permisos "canView" para cada página de resultados. Esto puede provocar que algunas páginas de los resultados de la consulta tengan menos del número máximo de registros por página, incluso cuando haya más páginas de resultados. Este comportamiento es consistente con cómo funciona la paginación en otras áreas de Silverstripe CMS, como en `GridField`, y es el resultado de tener que realizar comprobaciones de permisos en PHP en lugar de hacerlo directamente en la base de datos. Se pueden desactivar estas comprobaciones de permisos desactivando el complemento "CanViewPermission".
CVSS Scores
SSVC
- Decision:-
Timeline
- 2023-09-28 CVE Reserved
- 2024-01-23 CVE Published
- 2024-01-31 EPSS Updated
- 2024-08-02 CVE Updated
- ---------- Exploited in Wild
- ---------- KEV Due Date
- ---------- First Exploit
CWE
- CWE-863: Incorrect Authorization
CAPEC
References (2)
URL | Tag | Source |
---|
URL | Date | SRC |
---|
URL | Date | SRC |
---|
Affected Vendors, Products, and Versions
Vendor | Product | Version | Other | Status | ||||||
---|---|---|---|---|---|---|---|---|---|---|
Vendor | Product | Version | Other | Status | <-- --> | Vendor | Product | Version | Other | Status |
Silverstripe Search vendor "Silverstripe" | Graphql Search vendor "Silverstripe" for product "Graphql" | >= 4.0.0 < 4.3.7 Search vendor "Silverstripe" for product "Graphql" and version " >= 4.0.0 < 4.3.7" | - |
Affected
| ||||||
Silverstripe Search vendor "Silverstripe" | Graphql Search vendor "Silverstripe" for product "Graphql" | >= 5.0.0 < 5.1.3 Search vendor "Silverstripe" for product "Graphql" and version " >= 5.0.0 < 5.1.3" | - |
Affected
|