Mittel

API Platform Core can leak exceptions message that may contain sensitive information

Veröffentlicht: 03.04.2025
Aktualisiert: 11.10.2026 10:22

Summary

Exception messages, that are not HTTP exceptions, are visible in the JSON error response.

Details

While we wanted to make our errors compatible with the JSON Problem specification, we ended up handling more exceptions then we did previously (introduced at https://github.com/api-platform/core/pull/5823). Instead of leaving that to Symfony, we ended up serializing errors with our normalizers which lead to not hiding the exception details. Note that the trace is hidden in production but the message is not, and the message can contain sensitive information.

PoC

At https://github.com/ili101/api-platform/tree/test3.2 it triggers an authentication exception as LDAP is not reachable. You can find the message available as a JSON response when trying to reach an endpoint.

Impact

Version 3.2 until 3.2.4 is impacted.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	api-platform/core	>= 3.2.0, < 3.2.5	3.2.5

Verweise

CVSS-Wert 5.3/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Schwäche (CWE): CWE-209
Plattform: Composer
Paket: api-platform/core
Veröffentlicht: 03.04.2025
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-rfw5-cqjj-7v9r - CC BY 4.0

Schwachstellenhistorie: api-platform/core

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 8
Erste → letzte: 10.2019 08.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 3
Mittel 5

Veröffentlichungen pro Jahr

2019: 1
2020: 0
2021: 0
2022: 0
2023: 1
2024: 0
2025: 4
2026: 2

07.08.2026

API Platform Core: Relation IRIs are not type-checked: a related resource can be denormalised as the wrong resource type (type confusion)

Mittel · 6.5 CVE-2026-54164 < 4.1.30, >= 4.2.0, < 4.2.26, >= 4.3.0, < 4.3.12 4.1.30, 4.2.26, 4.3.12
10.07.2026

API Platform Core vulnerable to cross-user attribute leak in JSON:API and HAL item normalizers due to missing isCacheKeySafe gate

Mittel · 5.9 CVE-2026-49858 >= 2.6.0, < 4.1.29, >= 4.2.0, < 4.2.25, >= 4.3.0, < 4.3.8 4.1.29, 4.2.25, 4.3.8
04.04.2025

GraphQL grant on a property might be cached with different objects

Hoch · 7.5 CVE-2025-31485 >= 4.0.0-alpha.1, < 4.0.22, < 3.4.17, >= 4.1.0-alpha.1, < 4.1.5 4.0.22, 3.4.17, 4.1.5
04.04.2025

GraphQL query operations security can be bypassed

Hoch · 7.5 CVE-2025-31481 >= 4.0.0-alpha.1, < 4.0.22, < 3.4.17, >= 4.1.0-alpha.1, < 4.1.5 4.0.22, 3.4.17, 4.1.5
03.04.2025

API Platform Core can leak exceptions message that may contain sensitive information dieser Eintrag

Mittel · 5.3 CVE-2023-47639 >= 3.2.0, < 3.2.5 3.2.5
24.03.2025

API Platform Core does not call GraphQl securityAfterResolver

Mittel · 4.4 CVE-2025-23204 >= 3.3.8, < 3.3.15 3.3.15
28.02.2023

api-platform/core's secured properties may be accessible within collections

Hoch · 7.7 CVE-2023-25575 >= 3.0.0, < 3.0.12, >= 3.1.0, < 3.1.3, >= 2.6.0, < 2.7.10 3.0.12, 3.1.3, 2.7.10
14.10.2019

Incorrect Access Control vulnerability in api-platform/core

Mittel · 6.5 CVE-2019-1000011 >= 2.2.0, < 2.2.10, >= 2.3.0, < 2.3.6 2.2.10, 2.3.6

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden