CVE-2026-32621
Apollo Federation tiene contaminación de prototipos mediante una sanitización incompleta de claves
- Publicado
- 13 mar 2026
- Actualizado
- 16 mar 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 16 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:LBajo · próximos 30 días
- Percentil
- 48,7 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Apollo Federation es una arquitectura para componer declarativamente APIs en un grafo unificado. Antes de 2.9.6, 2.10.5, 2.11.6, 2.12.3 y 2.13.2, existe una vulnerabilidad en la ejecución del plan de consulta dentro del gateway que puede permitir la contaminación de Object.prototype en ciertos escenarios. Un cliente malicioso puede ser capaz de contaminar Object.prototype en el gateway directamente elaborando operaciones con alias de campo y/o nombres de variables que apuntan a propiedades heredables del prototipo. Alternativamente, si un subgrafo fuera comprometido por un actor malicioso, podrían ser capaces de contaminar Object.prototype en el gateway elaborando cargas útiles de respuesta JSON que apuntan a propiedades heredables del prototipo. Esta vulnerabilidad está corregida en 2.9.6, 2.10.5, 2.11.6, 2.12.3 y 2.13.2.
Fuentes
Exploit PoC para CVE-2026-32621 que demuestra prototype pollution en deepMerge de Apollo Federation mediante aliases GraphQL elaborados, con pruebas de la versión parcheada.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.