CVE-2026-119286 in graphql-core
Zusammenfassung
von VulDB • 29.10.2026
GraphQL-core ist eine Python-Portierung der Referenzimplementierung GraphQL.js. Von Version 3.3.0a3 bis 3.3.1 wiederverwendet die Funktion `validate()` ein Modul-Level-`ValidationAbortedError`, wenn ein Dokument das Limit von `max_errors` überschreitet. Python hängt an jedem erneuten Auslösen (raise) Frames an den Traceback des wiederverwendeten Exceptions, wodurch jedes Dokument, jeder Validierungskontext und jede Fehlermenge für die gesamte Lebensdauer des Prozesses im Speicher behalten werden. Ein nicht authentifizierter Client kann wiederholt kleine Dokumente mit mehr als 100 Validierungsfehlern einreichen, um vor der Query-Ausführung zu einem ungebundenen Memory-Verbrauch (unbounded memory growth) zu führen und schließlich den Worker-Speicher aufzubrauchen, ohne Daten preiszugeben oder zu modifizieren. Dieses Problem wurde in Version 3.3.1 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.