CVE-2026-75507 in graphql-core
要約
〜によって VulDB • 2026年10月22日
GraphQL-coreは、GraphQL.jsの参照実装をPythonにポートしたものです。バージョン3.0.0から3.2.12および3.3.0rc1まで、specified_rules内のOverlappingFieldsCanBeMergedルールは、レスポンス名を共有するフィールドに対して繰り返し比較を行い、検証フェーズ中に平坦化されたインラインフラグメントを再帰的に再比較します。従来の名前付きフラグメントのメモ化はこのパスをカバーしないため、ネストされた重複したインラインフラグメントにより、リゾルバーやASTベースの深さ制限・複雑度制御が実行される前に、二次関数的な最悪ケースO(n²·m²)のCPU処理が発生する可能性があります。認証のない攻撃者は、ワーカープロセスを固定しマルチワーカーサービスを飽和させることができる、浅く高い圧縮率を持つGraphQLクエリを送信できます。この問題はバージョン3.2.12および3.3.0rc1で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.