CVE-2025-59845: CSRF in Apollo GraphQL Explorer e Sandbox

CVE-2025-59845 descrive una vulnerabilità di Cross-Site Request Forgery (CSRF) identificata nei componenti Apollo Studio Embeddable Explorer e Embeddable Sandbox. Questi software consentono ai siti web di integrare un editor GraphQL interattivo. La falla risiede nella mancanza di validazione dell'origin nei gestori di window.postMessage: un sito malintenzionato può inviare messaggi falsificati alla pagina contenente il componente Apollo, causando l'esecuzione di query e mutation GraphQL arbitrarie verso il server GraphQL della vittima, con i cookie di autenticazione della vittima stessa.

La vulnerabilità è classificata con CVSS 8,2 (high). Le versioni interessate sono Apollo Sandbox precedenti alla 2.7.2 e Apollo Explorer precedenti alla 3.7.3. Una patch è stata resa disponibile. Inoltre, il 8 novembre 2026 è stato segnalato su GitHub un repository pubblico contenente una sandbox di test e una prova di concetto dello sfruttamento della vulnerabilità, indicando che la comunità hacker ha accesso a risorse per testare l'exploit.

Le organizzazioni che integrano Apollo Embedded Explorer o Sandbox devono prioritizzare l'inventario e la verifica delle versioni in uso. Il passo immediato è l'upgrade verso Apollo Sandbox 2.7.2 o successiva e Apollo Explorer 3.7.3 o successiva. Parallelamente, valutate l'aggiunta di controlli di sicurezza a livello application: verificate che le origini dei messaggi postMessage siano rigorosamente validate, che le configurazioni CORS siano restrittive e che le policy di sicurezza HTTP siano robuste.