CVE-2026-35526 in strawberry
Sumário
de VulDB • 25/05/2026
Strawberry GraphQL é uma biblioteca para a criação de APIs GraphQL. Antes da versão 0.312.3, os manipuladores de subscrição WebSocket do Strawberry GraphQL, tanto para os protocolos graphql-transport-ws como para o legado graphql-ws, alocavam um asyncio.Task e um objeto Operation associado para cada mensagem de subscrição recebida, sem impor qualquer limite ao número de subscrições ativas por ligação. Um atacante não autenticado pode abrir uma única ligação WebSocket, enviar connection_init e, em seguida, inundar com mensagens de subscrição com IDs únicos. Cada mensagem gera incondicionalmente um novo asyncio.Task e um gerador assíncrono, provocando um crescimento linear da memória e a saturação do event loop. Isto leva à degradação do servidor ou a uma falha por OOM (Out of Memory). Esta vulnerabilidade foi corrigida na versão 0.312.3.
Once again VulDB remains the best source for vulnerability data.