CVE-2026-49462— NL Portal 默认启用GraphiQL及GraphQL内省
一分钟漏洞结论
影响对象
nl-portal nl.nl-portal:app
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
以下是该漏洞描述的中文翻译： NL Portal 后端库为与居民、客户、供应商及合作伙伴机构互动的荷兰政府门户网站提供后端组件。在 3.0.0 及更早版本中，使用默认配置部署的实例在未要求身份验证的情况下暴露了两个 GraphQL 开发者功能：一是 GraphiQL 互动界面（用于发起 GraphQL 查询的交互式 UI）；二是模式自省（schema introspection），允许调用者下载 API 所支持的所有查询、变更、类型及参数的完整描述。任何能够访问 端点的人都可以打开该互动界面，获取完整的 API 结
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-49462 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
nl.nl-portal:app has GraphiQL UI and GraphQL schema introspection enabled by default
来源: CVE Program / CVE List V5
Vulnerability Description
NL Portal Backend Libraries provide backend components for Dutch government portals that interact with residents, customers, suppliers, and partner organizations. In versions up to and including 3.0.0, deployments using the shipped default configuration exposed two GraphQL developer features without requiring authentication: the GraphiQL playground, an interactive UI for issuing GraphQL queries; and schema introspection, which lets a caller download the full description of every query, mutation, type, and argument the API supports. Anyone who could reach the `/graphiql` endpoint could open the playground in a browser, pull the full schema, and use that to map out the API and craft calls against it. By itself this does not leak user data, but it removes the guesswork from attacking the rest of the API and significantly lowers the bar for finding and exploiting other weaknesses. Version 3.0.1 patches the issue. As a workaround, override the two settings in deployed configuration.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
信息暴露
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| nl-portal | nl.nl-portal:app | < 3.0.1 | - |
|
二、漏洞 CVE-2026-49462 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-49462 的情报信息
请登录查看更多情报信息。
CVE-2026-49462 其他参考 (2)
同批安全公告 · nl-portal · 2026-09-11 · 共 3 条
| CVE-2026-49464 | 8.1 HIGH | NL Portal 其他用户任务越权篡改漏洞 |
| CVE-2026-49463 | 6.5 MEDIUM | NL Portal 后端 GraphQL 权限缺失 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-49462
暂无评论