CVE-2026-75508
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
W GraphQL-core od wersji 3.2.3 do 3.2.12 i 3.3.0rc1 limit max_tokens parsera zlicza tylko tokeny niebędące komentarzami zwracane po pominięciu komentarzy przez Lexer.lookahead. Każdy pominięty komentarz jest nadal alokowany jako Token i zachowywany przez token.next i token.prev, więc dokument GraphQL wypełniony komentarzami może przejść niski limit tokenów, zużywając pamięć.
Ocena ryzyka
Nieuwierzytelniony zdalny atakujący może wyczerpać pamięć procesu roboczego przed uruchomieniem kontroli głębokości lub złożoności opartych na AST. Prowadzi to do ataku denial of service na usługi GraphQL.
Rekomendacja
Zaktualizuj GraphQL-core do wersji 3.2.12 lub 3.3.0rc1 (lub nowszej). Do czasu aktualizacji rozważ ograniczenie rozmiaru żądań i monitorowanie zużycia pamięci.
Inne podatności w GraphQL-core
Zobacz wszystkie- CVE-2026-119286Wysokie
W GraphQL-core od wersji 3.3.0a3 do 3.3.1 funkcja validate() ponownie używa modułowego wyjątku ValidationAbortedError, gdy dokument przekracza max_errors. Python dołącza ramki do tracebacku tego samego wyjątku przy każdym podniesieniu, co powoduje zatrzymywanie dokumentów, kontekstów walidacji i zestawów błędów przez cały czas życia procesu.
- CVE-2026-75507Wysokie
Biblioteka GraphQL-core w wersjach od 3.0.0 do 3.2.12 (oraz 3.3.0rc1) zawiera podatność na wyczerpanie zasobów (CPU) podczas walidacji zapytań. Reguła OverlappingFieldsCanBeMerged wielokrotnie porównuje pola o tych samych nazwach odpowiedzi i rekurencyjnie przetwarza spłaszczone fragmenty inline, co pozwala zagnieżdżonym powtórzonym fragmentom wywołać kwadratowe, a w najgorszym przypadku O(n²·m²) obciążenie CPU przed uruchomieniem jakiejkolwiek kontroli głębokości lub złożoności. Nieuwierzytelniony zdalny atakujący może wysłać płytkie, silnie kompresowalne zapytanie GraphQL, które zablokuje proces roboczy i przeciąży usługę wieloprocesową.
Oryginalny opis (angielski, źródło NVD)
GraphQL-core is a Python port of the GraphQL.js reference implementation. From 3.2.3 until 3.2.12 and 3.3.0rc1, the parser's max_tokens limit in Parser.advance_lexer counts only non-comment tokens returned after Lexer.lookahead skips comments. Each skipped comment is still allocated as a Token and retained through token.next and token.prev, allowing a highly compressible comment-padded GraphQL document to pass a low token limit while consuming memory. An unauthenticated remote attacker can exhaust worker memory before AST-based depth or complexity controls run. This issue is fixed in versions 3.2.12 and 3.3.0rc1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS