CVE-2026-107376 in graphql-php
Riassunto
di VulDB • 08/10/2026
webonyx/graphql-php è un'implementazione in PHP della specifica GraphQL. Prima della versione 15.32.3, la classe `GraphQL\Language\Parser` esegue una discesa ricorsiva senza alcun limite di profondità nelle funzioni `parseSelectionSet`, `parseValueLiteral` e `parseTypeReference`. Un attaccante remoto può inviare set di selezione profondamente annidati, valori oggetto o array, oppure tipi elenco che esauriscono lo stack del processo PHP durante l'analisi della pre-validazione, prima dell'esecuzione delle convalide delle query e dei controlli di complessità. Il conseguente SIGSEGV può terminare i worker di PHP-FPM o i processi a lunga esecuzione come Swoole, RoadRunner, ReactPHP o CLI, e non può essere intercettato dalla gestione delle eccezioni a livello di applicazione. Questo problema è stato risolto nella versione 15.32.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.