CVE-2026-107728 in strawberry-graphql
요약
\~에 의해 VulDB • 2026. 10. 09.
Strawberry GraphQL은 GraphQL API를 생성하기 위한 라이브러리입니다. 버전 0.217.0부터 0.326.1까지, 동기식 필드 리졸버에서 PermissionExtension.resolve()는 has_permission()의 결과를 truthiness(참/거짓 값)로 평가합니다. 사용자 정의 권한이 has_permission()을 일반 함수로 선언하지만 awaitable 객체를 반환하는 경우, supports_sync가 이를 비동기로 분류하지 않아 해당 awaitable은 대기(await)되지 않으며, 본질적으로 참인(object value) 결과값으로 인해 보호된 리졸버가 false로 해석될 상황에서도 실행됩니다. 이 문제는 execute_sync() 및 execute() 하위의 동기식 필드 리졸버에 영향을 미칩니다. async def has_permission()을 사용하여 선언된 권한이나 boolean 값을 반환하는 동기식 권한은 영향받지 않습니다. 이 이슈는 버전 0.326.1에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.