n authorization flaw in Foreman's GraphQL API allows low-privileged users to access metadata beyond their assigned permissions. Unlike the REST API, which correctly enforces access controls, the GraphQL endpoint does not apply proper filtering, leading to an authorization bypass.
CVE-2025-9572 is an authorization bypass vulnerability in Foreman's GraphQL API that allows low-privileged users to access metadata beyond their assigned permissions. The REST API correctly enforces access controls, but the GraphQL endpoint fails to apply proper filtering, creating a security gap.
تسمح هذه الثغرة للمستخدمين ذوي الامتيازات المنخفضة بالوصول إلى البيانات الوصفية التي يجب أن تكون محظورة عليهم. بينما تطبق واجهة REST API الضوابط الأمنية بشكل صحيح، فإن نقطة نهاية GraphQL تفتقر إلى فحوصات التفويض المكافئة. هذا الفرق في تطبيق الأمان يؤدي إلى تسرب معلومات غير مصرح به.
A vulnerability in Foreman's GraphQL API permits users with limited privileges to view metadata they should not access due to missing authorization checks. While the REST API properly restricts access, the GraphQL interface lacks equivalent security controls, enabling unauthorized information disclosure.
Update Foreman to the latest patched version that implements proper authorization filtering in the GraphQL API endpoint. Apply the same access control mechanisms used in the REST API to the GraphQL interface. Review and audit all GraphQL queries to ensure authorization checks are enforced consistently across all endpoints.
قم بتحديث Foreman إلى أحدث إصدار مصحح يطبق تصفية التفويض الصحيحة في نقطة نهاية GraphQL. طبق آليات التحكم في الوصول ذاتها المستخدمة في REST API على واجهة GraphQL. راجع وتدقيق جميع استعلامات GraphQL للتأكد من فرض فحوصات التفويض بشكل متسق عبر جميع النقاط النهائية.