CVE-2026-107727 in Strawberry GraphQL
Zusammenfassung
von VulDB • 09.10.2026
Strawberry GraphQL ist eine Bibliothek zur Erstellung von GraphQL-APIs. Von der Version 0.312.3 bis 0.327.2 entfernt der Legacy-graphql-ws-Subscription-Handler in strawberry/subscriptions/protocols/graphql_ws/handlers.py natürlich abgeschlossene Operationen nicht aus self.tasks und self.subscriptions. Wenn max_subscriptions_per_connection konfiguriert ist, kann ein Client auf einer persistenten WebSocket-Verbindung verschiedene Operations-IDs für One-Shot-Subscriptions verwenden, um die konfigurierten Slots der Verbindung auch dann zu füllen, wenn diese Subscriptions bereits abgeschlossen sind, was dazu führt, dass spätere legitime Operationen auf dieser Verbindung mit „Subscription limit reached“ (Abonnement-Limit erreicht) abgelehnt werden. Das moderne graphql-transport-ws-Protokoll und Bereitstellungen ohne das konfigurierte pro-Verbindung-Beschränkungslimit sind nicht betroffen. Dieses Problem wurde in Version 0.327.2 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.