リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、1ee62c05-a646-11f1-b187-901b0edee044 のアドバイザリに記載されている脆弱性の影響を受けます。

    Patrick Arminio 氏による報告:
    PermissionExtension.resolve() は、同期パスでの真実性に関して has_permission() の戻り値を評価します。supports_syncは、has_permissionが(inspect.iscoroutine関数を介して)async defで宣言された場合にのみ、アクセス許可を非同期として分類するため、awaitableを返すプレーンなdefは同期として扱われます。awaitable は常に真実であるため、False に解決され、保護されたリゾルバーが実行されても、チェックは合格します。

            解決パスは、実行方法ではなくフィールドリゾルバーによって選択されるため、同期リゾルバーを持つフィールドは、execute_sync() と execute() の両方で影響を受けます。async def has_permission()、またはブーリアンを返すプレーンな def で宣言された権限は、影響を受けません。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

FreeBSD:py-strawberry-graphql -- 不適切な認証(1ee62c05-a646-11f1-b187-901b0edee044)

high Nessus プラグイン ID 342436

バージョン 1.1