EXPLOIT PÚBLICODetectada 09 NOV · 05:02

CVE-2025-59845 Falsificación de petición (CSRF) en Apollo Sandbox y Apollo Explorer por falta de validación de origen en…

Falta validación de origen en el código del cliente que maneja eventos window.postMessage. Un sitio malicioso puede enviar mensajes falsos a la página que embebe el componente y hacer que el navegador de la víctima ejecute consultas o mutaciones GraphQL arbitrarias contra su servidor GraphQL con las cookies de la víctima. Corregido en Apollo Sandbox 2.7.2 y Apollo Explorer 3.7.3.

8.2ALTA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,2 % · percentil 5
Explotada activamenteNo confirmada
Exploit públicoSí, 1

Afectados

apollographql embeddable-explorer
< 2.7.2< 3.7.3

Qué hacer

Verificá si usás embeddable-explorer y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Priorizá la corrección: hay código de explotación público.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

C3viche/cve-2025-59845 A testing sandbox and proof of concept for exploiting the vulnerable Apollo Embedded Sandbox/Explorer09 NOV · 05:02

Calculadora CVSS

CVSS 3.1 · 8.2 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:H/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioRequerida
AlcanceCambiado
ConfidencialidadBaja
IntegridadAlta
DisponibilidadNinguna

Descripción original

Apollo Studio Embeddable Explorer & Embeddable Sandbox are website embeddable software solutions from Apollo GraphQL. Prior to Apollo Sandbox version 2.7.2 and Apollo Explorer version 3.7.3, a cross-site request forgery (CSRF) vulnerability was identified. The vulnerability arises from missing origin validation in the client-side code that handles window.postMessage events. A malicious website can send forged messages to the embedding page, causing the victim’s browser to execute arbitrary GraphQL queries or mutations against their GraphQL server while authenticated with the victim’s cookies. This issue has been patched in Apollo Sandbox version 2.7.2 and Apollo Explorer version 3.7.3.

Referencias (1)

github.com/apollographql/embeddable-explorer/security/advisories/GHSA-w87v-7w53-wwxv

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.