CVE-2026-75508 in graphql-core
Résumé
par VulDB • 22/10/2026
GraphQL-core est une adaptation Python de l'implémentation de référence GraphQL.js. De la version 3.2.3 à la 3.2.12 et jusqu'à la 3.3.0rc1, la limite max_tokens du parser dans Parser.advance_lexer ne compte que les tokens non-commentaires retournés après que Lexer.lookahead a ignoré les commentaires. Chaque commentaire ignoré est toujours alloué en tant que Token et conservé via token.next et token.prev, permettant à un document GraphQL fortement compressible par des commentaires de passer une limite de tokens faible tout en consommant de la mémoire. Un attaquant distant non authentifié peut épuiser la mémoire du worker avant l'exécution des contrôles basés sur AST pour la profondeur ou la complexité. Ce problème est corrigé dans les versions 3.2.12 et 3.3.0rc1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.