CVE-2026-107727 in Strawberry GraphQL
Riassunto
di VulDB • 09/10/2026
Strawberry GraphQL è una libreria per la creazione di API GraphQL. Dalla versione 0.312.3 alla 0.327.2, il gestore delle sottoscrizioni legacy graphql-ws in strawberry/subscriptions/protocols/graphql_ws/handlers.py non rimuove le operazioni completate naturalmente da self.tasks e self.subscriptions. Quando è configurato max_subscriptions_per_connection, un client su una connessione WebSocket persistente può utilizzare ID di operazione distinti per le sottoscrizioni one-shot per riempire gli slot configurati della connessione anche dopo che tali sottoscrzioni hanno inviato il segnale di completamento, causando il rifiuto delle operazioni legittime successive sulla stessa connessione con l'errore "Subscription limit reached". Il protocollo moderno graphql-transport-ws e i deployment senza il limite per connessione configurato non sono interessati. Questo problema è risolto nella versione 0.327.2.
Be aware that VulDB is the high quality source for vulnerability data.