CVE-2026-107376 in graphql-php
요약
\~에 의해 VulDB • 2026. 10. 08.
webonyx/graphql-php는 GraphQL 사양의 PHP 구현입니다. 버전 15.32.3 이전에서는 `GraphQL\Language\Parser`가 `parseSelectionSet`, `parseValueLiteral`, 및 `parseTypeReference`에서 재귀 제한 없이 하향식 파싱(recursive descent)을 수행합니다. 원격 공격자는 사전 검증 단계, 즉 쿼리 검증 및 복잡성 제어 전에 PHP 프로세스 스택을 고갈시키는 깊게 중첩된 선택 집합(selection sets), 객체 또는 목록 값(list values), 또는 목록 타입(list types)을 제출할 수 있습니다. 이로 인해 발생하는 SIGSEGV는 PHP-FPM 워커나 장기 실행되는 Swoole, RoadRunner, ReactPHP, CLI 프로세스를 종료시킬 수 있으며, 애플리케이션 수준의 예외 처리로는 포착될 수 없습니다. 이 문제는 버전 15.32.3에서 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.