Vulnérabilité dans api-platform/core (CVE-2026-49858)
Résumé
Vulnérabilité dans api-platform/core (CVE-2026-49858). Des informations confidentielles peuvent être exposées. Exploitable via componentsCache. Atténuation : mise à jour vers 4.3.8 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Impact
#[ApiProperty(security: ...)] is evaluated per request to decide whether a property is exposed. The componentsCache arrays in ApiPlatform\JsonApi\Serializer\ItemNormalizer and ApiPlatform\Hal\Serializer\ItemNormalizer are keyed on $context['cache_key'], which is set unconditionally before delegating to the parent normalizer. The component structure (attributes, relationships, links) computed for one request can therefore be reused for a subsequent request whose user has a different set of accessible properties. A user with lower privileges may end up seeing the structure of properties that the security predicate would otherwise have hidden for them.
This is the same vulnerability class as GHSA-428q-q3vv-3fq3 / CVE-2025-31485, which fixed only the GraphQL ItemNormalizer. The JSON:API and HAL paths were not addressed at the time.
Exploitation conditions
Exploitation requires all of the following to coincide:
- The application exposes a resource via the JSON:API and/or HAL formats.
- At least one property of that resource uses
#[ApiProperty(security: ...)]with a predicate whose result depends on the current user (or on per-request state). - A request from a user for whom the predicate evaluates to
truepopulatescomponentsCachebefore a request from a user for whom the predicate evaluates tofalse, within the lifetime of the same PHP process. - The deployment…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-49858 a été découverte dans api-platform/core.
Des attaquants peuvent cibler un point d'entrée spécifique comme componentsCache à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 5.9/10.
Action : mettez à jour api-platform/core vers 4.3.8 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « api-platform/core CVE-2026-49858 » sur le site de l'éditeur.
CVE-2026-49858 (api-platform/core) — CWE-524 / CVSS v3 5.9
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : componentsCache / ItemNormalizer / true / false
Correctif : 4.3.8 — appliquer immédiatement
Contournement : Override the JSON:API and HAL ItemNormalizer services to gate $context['cache_key'] with a resource-class security check, or avoid #[ApiProperty(security: ...)] on resources served as JSON:API or HAL until the patch is applied.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-524) affecte api-platform/core. Les attaquants atteignent le code vulnérable via componentsCache sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de api-platform/core. Surface d'attaque : componentsCache / ItemNormalizer / true / false.
Gravité : Moyenne (CVSS 5.9/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers 4.3.8.
Contournement : Override the JSON:API and HAL ItemNormalizer services to gate $context['cache_key'] with a resource-class security check, or avoid #[ApiProperty(security: ...)] on resources served as JSON:API or HAL until the patch is applied.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'api-platform/core' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
api-platform/coreを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply temporary workaround mitigate
Override the JSON:API and HAL `ItemNormalizer` services to gate `$context['cache_key']` with a resource-class security check, or avoid `#[ApiProperty(security: ...)]` on resources served as JSON:API or HAL until the patch is applied.パッチが適用されるまでの応急処置として、Override the JSON:API and HAL
ItemNormalizerservices to gate$context['cache_key']with a resource-class security check, or avoid#[ApiProperty(security: ...)]on resources served as JSON:API or HAL until the patch is applied. を実施。回避策の副作用 (機能低下) を確認した上で。 -
3Apply patch patch
Upgrade api-platform/core to 4.3.8ステージング環境で 4.3.8 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
4Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com