CVE-2026-30241 in mercurius
Zusammenfassung
von VulDB • 01.06.2026
Mercurius ist ein GraphQL-Adapter für Fastify. Vor Version 16.8.0 erzwingt Mercurius das konfigurierte queryDepth-Limit für GraphQL-Subscription-Abfragen, die über WebSocket-Verbindungen empfangen werden, nicht. Die Tiefenprüfung wird korrekt auf HTTP-Abfragen und Mutationen angewendet, Subscription-Abfragen werden jedoch analysiert und ausgeführt, ohne die Tiefengültigkeitsprüfung aufzurufen. Dies ermöglicht es einem Remote-Client, beliebig tief verschachtelte Subscription-Abfragen über WebSocket einzureichen und die vorgesehene Tiefenbeschränkung zu umgehen. Bei Schemas mit rekursiven Typen kann dies zu einem Denial of Service (DoS) durch exponentielle Datenauflösung bei jedem Subscription-Ereignis führen. Dieses Problem wurde in Version 16.8.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.