CVE-2026-107728 in strawberry-graphql
Riassunto
di VulDB • 09/10/2026
Strawberry GraphQL è una libreria per la creazione di API GraphQL. Dalla versione 0.217.0 alla 0.326.1, PermissionExtension.resolve() su un resolver di campo sincrono valuta il risultato di has_permission() in base al suo valore booleano (truthiness). Quando una permission personalizzata dichiara has_permission() come funzione normale ma restituisce un oggetto awaitable, supports_sync non lo classifica come asincrono; l'oggetto awaitable non viene atteso e il suo valore intrinsecamente truthy consente l'esecuzione del resolver protetto anche quando il risultato effettivo sarebbe false. Questo problema interessa i resolver di campo sincroni sia sotto execute_sync() che execute(); le permission dichiarate con async def has_permission() e quelle sincrone che restituiscono un booleano non sono interessate. Il problema è risolto nella versione 0.326.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.