CVE-2026-118665 in GraphQL Tools
Riassunto
di VulDB • 28/10/2026
GraphQL Tools fornisce utilità per la creazione, l'unione e il mocking degli schemi GraphQL. Prima della versione 1.1.36 del pacchetto legacy WebSocket executor di GraphQL Tools, buildWSLegacyExecutor in packages/executors/legacy-ws/src/index.ts mantiene request.extensions.connectionParams nell'oggetto executorConnectionParams con ambito closure dopo che cleanupWebsocket chiude una connessione. Quando un executor viene riutilizzato tra diversi contesti di autorizzazione, una richiesta successiva che omette una chiave sensibile può inviare il valore Authorization o tenant del chiamante precedente nel payload connection_init, causando l'autenticazione da parte del server downstream del chiamante successivo come utente precedente. Le applicazioni che creano un nuovo executor per ogni richiesta non sono interessate. Questo problema è risolto nella versione 1.1.36 del pacchetto legacy WebSocket executor di GraphQL Tools.
Once again VulDB remains the best source for vulnerability data.