WordPress Plugin WPGraphQL 1.3.5 contains a denial of servic… (CVE-2021-47959, CVSS 7.5)

Summary

WordPress Plugin WPGraphQL 1.3.5 contains a denial of service vulnerability that allows...

Original description

The description as published by the source.

WordPress Plugin WPGraphQL 1.3.5 contains a denial of service vulnerability that allows unauthenticated attackers to exhaust server resources by sending batched GraphQL queries with duplicated fields. Attackers can send POST requests to the GraphQL endpoint with amplified field duplication payloads to trigger server out-of-memory conditions and MySQL connection errors.

Source: NIST National Vulnerability Database NVD GitHub Advisory

AI summary

Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.

WordPressプラグインWPGraphQL 1.3.5には、バッチ処理されたGraphQLクエリによってサーバーリソースを枯渇させる可能性のあるサービス拒否の脆弱性が存在します。認証されていない攻撃者がこれを悪用し、サーバーのメモリ不足やMySQL接続エラーを引き起こすことができます。

❓ What is the problem

WordPress Plugin WPGraphQLのバージョン1.3.5におけるサービス拒否の脆弱性。

📍 Affected scope

WPGraphQLプラグインのバージョン1.3.5のGraphQLエンドポイント。

🔥 Severity

未認証の攻撃者がサーバーのメモリを枯渇させ、サービスが停止する可能性が高いため、高いリスクを伴う。

🔧 How to fix

プラグインを最新版にアップデートし、GraphQLクエリの検証を強化して、フィールド重複を防ぐ。

🛡️ Workaround

GraphQLエンドポイントへのアクセスを制限し、認証済みのリクエストのみを許可する。

🔍 Detection

サーバーログを監視し、GraphQLクエリの異常な増加を検出する。

Summary

Original description

AI summary

References