CVE-2026-118665 in GraphQL Tools
Zusammenfassung
von VulDB • 28.10.2026
GraphQL Tools bietet Dienstprogramme zum Erstellen, Zusammenführen und Simulieren von GraphQL-Schemata. Vor Version 1.1.36 des Legacy-WebSocket-Ausführerpakets (legacy WebSocket executor package) von GraphQL Tools behält `buildWSLegacyExecutor` in `packages/executors/legacy-ws/src/index.ts` die Werte aus `request.extensions.connectionParams` im closure-gesicherten Objekt `executorConnectionParams` bei, auch nachdem `cleanupWebsocket` eine Verbindung geschlossen hat. Wenn ein einzelner Ausführender (Executor) über verschiedene Autorisierungskontexte hinweg wiederverwendet wird, kann eine spätere Anfrage, die einen sensiblen Schlüssel weglässt, den Authorization-Header oder Tenant-Wert eines früheren Aufrufers in ihrem `connection_init`-Payload senden. Dies führt dazu, dass der nachgelagerte Server den späteren Aufrufer als den vorherigen Benutzer authentifiziert. Anwendungen, die für jede Anfrage einen neuen Ausführenden erstellen, sind nicht betroffen. Dieses Problem wurde in Version 1.1.36 des Legacy-WebSocket-Ausführerpakets von GraphQL Tools behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.