JVNDB-2026-008728

Graphitiにおける動的に操作されるコードリソースの不適切な制御に関する脆弱性

Graphitiはモデルの上に構築されたフレームワークで、JSON:API準拠のインターフェースを通じてそれらを公開します。バージョン1.10.2未満には任意のメソッド実行の脆弱性があり、GraphitiのJSONAPI書き込み機能に影響を与えます。攻撃者は任意の関係名を持つ悪意のあるJSONAPIペイロードを作成し、基盤となるモデルインスタンス、クラス、またはその関連オブジェクトの任意のパブリックメソッドを呼び出すことが可能です。Graphitiの書き込みエンドポイント（作成/更新/削除）を信頼できないユーザーに公開しているアプリケーションが影響を受けます。`Graphiti::Util::ValidationResponse#all_valid?`メソッドは、リソースの設定されたサイドロードと照合せずに、ユーザー提供のJSONAPIペイロードから直接取得した関係名を使用して再帰的に`model.send(name)`を呼び出します。これにより、攻撃者は特定のモデルインスタンスやそのクラス、関連するインスタンスやクラス上の任意のパブリックメソッド（破壊的な操作を含む）を実行できる可能性があります。この脆弱性はGraphiti v1.10.2で修正されているため、ユーザーは可能な限り早急にアップグレードする必要があります。いくつかの回避策も存在します。信頼できないユーザーがGraphitiの書き込みエンドポイント（作成/更新）にアクセスできないようにするか、書き込み操作が処理される前に強力な認証および認可チェックを適用してください。例えば、Railsのstrong parametersを使用して有効なパラメータのみが処理されるようにしてください。

Graphiti

• Graphiti 1.10.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Arbitrary Method Execution via Unvalidated Relationship Names  Advisory  graphiti-api/graphiti  GitHub

1. 動的に操作されるコードリソースの不適切な制御(CWE-913) [その他]

1. CVE-2026-33286

1. National Vulnerability Database (NVD) : CVE-2026-33286
2. 関連文書 : Release v1.10.2  graphiti-api/graphiti  GitHub
3. 関連文書 : fix: Ensure RequestValidator validates resource relationships  graphiti-api/graphiti@ddb5ad2  GitHub

• [2026年03月27日]
    掲載