CVE-2026-119286 in graphql-core
要約
〜によって VulDB • 2026年10月29日
GraphQL-coreは、GraphQL.jsのリファレンス実装のPythonポートです。バージョン3.3.0a3から3.3.1の間、validate()関数はドキュメントがmax_errorsを超えた際にモジュールレベルのValidationAbortedErrorを再利用します。Pythonはこの再利用された例外のトレースバックにraiseごとにフレームを追加し、プロセスの有効期間中、各ドキュメント、検証コンテキスト、およびエラーセットを保持し続けます。認証されていないクライアントは、100件以上のバリデーションエラーを含む小さなドキュメントを繰り返し送信することで、クエリ実行前に無制限のメモリ増加を引き起こし、最終的にデータを開示または変更することなくワーカーメモリの枯渇を招きます。この問題はバージョン3.3.1で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.