Heimdall Security Logo

CVE-2025-27407

Vulnérabilité critique dans graphql-ruby (rmosolgo)

CVSS 9.1 · Critique
EPSS 3.1%
rmosolgo•graphql-ruby•Versions : >= 2.0.0, < 2.0.32, >= 2.2.0, < 2.2.17, >= 1.11.5, < 1.11.8, >= 2.1.0, < 2.1.14, >= 1.12.0, < 1.12.25, >= 2.3.0, < 2.3.21, >= 1.13.0, < 1.13.24

Description

graphql-ruby is a Ruby implementation of GraphQL. Starting in version 1.11.5 and prior to versions 1.11.8, 1.12.25, 1.13.24, 2.0.32, 2.1.14, 2.2.17, and 2.3.21, loading a malicious schema definition in `GraphQL::Schema.from_introspection` (or `GraphQL::Schema::Loader.load`) can result in remote code execution. Any system which loads a schema by JSON from an untrusted source is vulnerable, including those that use GraphQL::Client to load external schemas via GraphQL introspection. Versions 1.11.8, 1.12.25, 1.13.24, 2.0.32, 2.1.14, 2.2.17, and 2.3.21 contain a patch for the issue.

Gravité et risque d'exploitation

CVE-2025-27407 obtient un score CVSS de 9.1/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 3.10 %, ce qui la place devant 87.6 % des CVE référencées.

Que faire ?

  • Vérifiez si graphql-ruby (versions >= 2.0.0, < 2.0.32, >= 2.2.0, < 2.2.17, >= 1.11.5, < 1.11.8, >= 2.1.0, < 2.1.14, >= 1.12.0, < 1.12.25, >= 2.3.0, < 2.3.21, >= 1.13.0, < 1.13.24) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE