CVE-2026-45739
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W bibliotece Strawberry GraphQL w wersjach 0.288.4 do 0.315.3 wykryto, że szablon GraphiQL zapisywał wartości z edytora nagłówków do parametrów URL w przeglądarce. Może to ujawnić wrażliwe nagłówki, takie jak tokeny autoryzacyjne.
Ocena ryzyka
Użytkownicy mogą nieświadomie udostępnić swoje tokeny autoryzacyjne poprzez historię przeglądarki, skopiowane linki lub logi dostępu serwera/proxy/CDN.
Rekomendacja
Należy natychmiast zaktualizować Strawberry GraphQL do wersji 0.315.4, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Strawberry GraphQL is a library for creating GraphQL APIs. In versions 0.288.4 through 0.315.3, Strawberry's bundled GraphiQL template wrote values from the GraphiQL headers editor into the browser URL query string. If a user entered a sensitive header, such as `Authorization: Bearer <token>`, the value could become visible in browser history, copied links, and server/proxy/CDN access logs after a page reload or shared request. Version 0.315.4 patches the issue.