CVE-2026-32621
CVE.org · Publicado
- Status do registro
- Publicado
- Ano do identificador (não é o ano de publicação)
- 2026
- Publicação na fonte
- Atualização na fonte
- Importado pelo cveboard
- Snapshot da fonte
- cve_2026-10-24_midnight_baseline ·
Texto da CNA em inglês
Apollo Federation has prototype pollution via incomplete key sanitization
Apollo Federation is an architecture for declaratively composing APIs into a unified graph. Prior to 2.9.6, 2.10.5, 2.11.6, 2.12.3, and 2.13.2, a vulnerability exists in query plan execution within the gateway that may allow pollution of Object.prototype in certain scenarios. A malicious client may be able to pollute Object.prototype in gateway directly by crafting operations with field aliases and/or variable names that target prototype-inheritable properties. Alternatively, if a subgraph were to be compromised by a malicious actor, they may be able to pollute Object.prototype in gateway by crafting JSON response payloads that target prototype-inheritable properties. This vulnerability is fixed in 2.9.6, 2.10.5, 2.11.6, 2.12.3, and 2.13.2.
Fatos de produtos e versões por escopo
Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.
Exploração desconhecida; este catálogo não avalia exploração.
federation-internals
- Fornecedor
- @apollo
- Produto
- federation-internals
- Plataformas
- Desconhecido
- Status padrão
Desconhecido
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| >= 2.13.0-preview.0, < 2.13.2 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 2.12.0-preview.0, < 2.12.3 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 2.11.0-preview.0, < 2.11.6 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 2.10.0-alpha.0, < 2.10.5 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| < 2.9.6 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
gateway
- Fornecedor
- @apollo
- Produto
- gateway
- Plataformas
- Desconhecido
- Status padrão
Desconhecido
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| >= 2.13.0-preview.0, < 2.13.2 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 2.12.0-preview.0, < 2.12.3 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 2.11.0-preview.0, < 2.11.6 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 2.10.0-alpha.0, < 2.10.5 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| < 2.9.6 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
query-planner
- Fornecedor
- @apollo
- Produto
- query-planner
- Plataformas
- Desconhecido
- Status padrão
Desconhecido
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| >= 2.13.0-preview.0, < 2.13.2 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 2.12.0-preview.0, < 2.12.3 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 2.11.0-preview.0, < 2.11.6 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 2.10.0-alpha.0, < 2.10.5 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| < 2.9.6 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |