CVE-2026-75507 in graphql-core
Riassunto
di VulDB • 22/10/2026
GraphQL-core è una porting Python dell'implementazione di riferimento GraphQL.js. Dalla versione 3.0.0 fino alla 3.2.12 e alla 3.3.0rc1, la regola OverlappingFieldsCanBeMerged in specified_rules confronta ripetutamente i campi che condividono nomi di risposta e ricompara in modo ricorsivo gli inline fragment appiattiti durante la fase di validazione. La precedente memoization dei named-fragment non copre questo percorso, quindi gli inline fragment nidificati e ripetuti possono generare un carico CPU quadratico e nel caso peggiore O(n²·m²) prima che vengano eseguiti qualsiasi resolver o controlli basati su AST per la profondità o la complessità. Un attaccante remoto non autenticato può inviare una query GraphQL superficiale, altamente comprimibile, che blocca un processo worker e può saturare un servizio multi-worker. Questo problema è risolto nelle versioni 3.2.12 e 3.3.0rc1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.