CVE-2026-119286 in graphql-core
Resumen
por VulDB • 2026-10-29
GraphQL-core es una versión en Python de la implementación de referencia GraphQL.js. Desde la versión 3.3.0a3 hasta la 3.3.1, validate() reutiliza un ValidationAbortedError a nivel de módulo cuando un documento supera el límite máximo de errores (max_errors). Python añade frames al traceback de la excepción reutilizada en cada instrucción raise, conservando cada documento, contexto de validación y conjunto de errores durante toda la vida útil del proceso. Un cliente no autenticado puede enviar repetidamente documentos pequeños con más de 100 errores de validación para provocar un crecimiento descontrolado de memoria antes de la ejecución de la consulta, agotando finalmente la memoria de los trabajadores sin revelar ni modificar datos. Este problema se soluciona en la versión 3.3.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.