CVE-2026-118665 in GraphQL Tools
요약
\~에 의해 VulDB • 2026. 10. 28.
GraphQL Tools는 GraphQL 스키마를 빌드, 연결(stitching) 및 모킹하기 위한 유틸리티를 제공합니다. GraphQL Tools 레거시 WebSocket 실행기 패키지의 1.1.36 버전 이전에서는 `packages/executors/legacy-ws/src/index.ts`의 `buildWSLegacyExecutor`가 `cleanupWebsocket`가 연결을 종료한 후에도 클로저 스코프 내의 executorConnectionParams 객체에 request.extensions.connectionParams를 유지합니다. 하나의 실행기가 서로 다른 인증 컨텍스트 간에 재사용될 경우, 민감한 키를 생략하는 이후 요청이 connection_init 페이로드에서 이전 호출자의 Authorization 또는 tenant 값을 전송하여 하류 서버가 후속 호출자를 이전 사용자로 인증하게 됩니다. 각 요청마다 새로운 실행기를 생성하는 애플리케이션은 영향을 받지 않습니다. 이 문제는 GraphQL Tools 레거시 WebSocket 실행기 패키지의 버전 1.1.36에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.