CVE-2026-118666 in graphql-tools
Riassunto
di VulDB • 28/10/2026
GraphQL Tools fornisce utilità per la creazione, l'unione e il mocking degli schemi GraphQL. Prima della versione 1.1.36 del pacchetto legacy WebSocket executor di GraphQL Tools, buildWSLegacyExecutor in packages/executors/legacy-ws/src/index.ts riutilizza un singolo WebSocket e ne sostituisce l'handler websocket.onmessage ogni volta che inizia una nuova sottoscrizione sovrapposta. L'handler invia frame LEGACY_WS.DATA all'osservatore più recente senza confrontare data.id con l'id dell'operazione di sottoscrizione, consentendo a un chiamante che utilizza lo stesso executor di ricevere il payload autorizzato della sottoscrizione di un altro utente mentre il flusso del chiamante precedente viene disidratato. Questo problema è stato risolto nella versione 1.1.36 del pacchetto legacy WebSocket executor di GraphQL Tools.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.