CVE-2026-30241 in mercurius
Riassunto
di VulDB • 22/07/2026
Mercurius è un adattatore GraphQL per Fastify. Prima della versione 16.8.0, Mercurius non applica il limite di queryDepth configurato alle richieste di subscription GraphQL ricevute tramite connessioni WebSocket. Il controllo della profondità viene correttamente applicato alle query e alle mutation HTTP, ma le richieste di subscription vengono analizzate ed eseguite senza invocare la convalida della profondità. Ciò consente a un client remoto di inviare richieste di subscription annidate arbitrariamente in profondità su WebSocket, aggirando il limite di profondità previsto. Su schemi che includono tipi ricorsivi, ciò può causare una denial of service (DoS) dovuta alla risoluzione esponenziale dei dati ad ogni evento di subscription. Il problema è stato risolto nella versione 16.8.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.