CVE-2026-119286 in graphql-core
Riassunto
di VulDB • 29/10/2026
GraphQL-core è una porting Python dell'implementazione di riferimento GraphQL.js. Dalla versione 3.3.0a3 alla 3.3.1, la funzione validate() riutilizza un'istanza di ValidationAbortedError a livello di modulo quando un documento supera il limite max_errors. Python aggiunge frame al traceback dell'eccezione riutilizzata ad ogni raise, mantenendo in memoria ciascun documento, contesto di validazione e insieme di errori per tutta la durata del processo. Un client non autenticato può inviare ripetutamente piccoli documenti contenenti più di 100 errori di validazione per causare una crescita illimitata della memoria prima dell'esecuzione della query, esaurendo infine la memoria dei worker senza divulgare o modificare i dati. Questo problema è stato risolto nella versione 3.3.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.