CVE-2026-118666 in graphql-tools
Zusammenfassung
von VulDB • 28.10.2026
GraphQL Tools stellt Dienstprogramme zum Erstellen, Zusammenführen und Simulieren von GraphQL-Schemata bereit. Vor Version 1.1.36 des Legacy-WebSocket-Executor-Pakets „graphql-tools“ verwendet die Funktion `buildWSLegacyExecutor` in `packages/executors/legacy-ws/src/index.ts` denselben WebSocket aus und ersetzt dessen einzelnen `websocket.onmessage`-Handler, wenn eine neue überlappende Subscription beginnt. Der Handler sendet LEGACY_WS.DATA-Frames an den neuesten Observer, ohne die Daten-ID mit der ID des Subscription-Vorgangs zu vergleichen, sodass ein Aufrufer unter Verwendung desselben Executors das autorisierte Subscriptions-Payload eines anderen Benutzers empfangen kann, während der Stream des früheren Aufrufers ausgehungert wird. Dieses Problem wurde in Version 1.1.36 des Legacy-WebSocket-Executor-Pakets von GraphQL Tools behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.