CVE-2026-118665

WysokieCVSS 8.2

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

W pakiecie GraphQL Tools legacy WebSocket executor przed wersją 1.1.36 funkcja buildWSLegacyExecutor zachowuje request.extensions.connectionParams w obiekcie executorConnectionParams po zamknięciu połączenia przez cleanupWebsocket. Gdy jeden executor jest używany w różnych kontekstach autoryzacji, późniejsze żądanie może wysłać w connection_init dane uwierzytelniające wcześniejszego użytkownika.

Ocena ryzyka

Serwer docelowy może uwierzytelnić późniejszego użytkownika jako wcześniejszego, co prowadzi do podszycia się i nieautoryzowanego dostępu do danych.

Rekomendacja

Zaktualizuj pakiet GraphQL Tools legacy WebSocket executor do wersji 1.1.36 lub nowszej. Unikaj współdzielenia jednego executora między różnymi kontekstami autoryzacji.

Inne podatności w GraphQL Tools legacy WebSocket executor

CVE-2026-118666Średnie
W pakiecie GraphQL Tools legacy WebSocket executor przed wersją 1.1.36 funkcja buildWSLegacyExecutor używa jednego WebSocket i zastępuje pojedynczy handler websocket.onmessage przy każdym nowym nakładającym się subskrypcji. Handler dostarcza ramki LEGACY_WS.DATA do najnowszego obserwatora bez porównania data.id z identyfikatorem operacji subskrypcji, więc wywołujący może otrzymać dane subskrypcji innego użytkownika.

Oryginalny opis (angielski, źródło NVD)

GraphQL Tools provides utilities for building, stitching, and mocking GraphQL schemas. Prior to version 1.1.36 of the GraphQL Tools legacy WebSocket executor package, buildWSLegacyExecutor in packages/executors/legacy-ws/src/index.ts retains request.extensions.connectionParams in the closure-scoped executorConnectionParams object after cleanupWebsocket closes a connection. When one executor is reused across different authorization contexts, a later request that omits a sensitive key can send an earlier caller's Authorization or tenant value in its connection_init payload, causing the downstream server to authenticate the later caller as the earlier user. Applications that create a new executor for every request are not affected. This issue is fixed in version 1.1.36 of the GraphQL Tools legacy WebSocket executor package.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS