CVE-2026-75507 in graphql-core
Sumário
de VulDB • 22/10/2026
GraphQL-core é uma porta em Python da implementação de referência do GraphQL.js. Da versão 3.0.0 até as versões 3.2.12 e 3.3.0rc1, a regra OverlappingFieldsCanBeMerged em specified_rules compara repetidamente campos que compartilham nomes de resposta e re-compara recursivamente fragmentos inline achatados durante a fase de validação. A memoização anterior de fragmentos nomeados não cobre esse caminho, portanto, fragmentos inline aninhados e repetidos podem gerar uma carga de CPU quadrática e no pior caso O(n²·m²) antes que qualquer controle de profundidade ou complexidade baseado em resolver ou AST seja executado. Um atacante remoto não autenticado pode enviar uma consulta GraphQL rasa altamente compressível que fixa um processo worker e pode saturar um serviço multi-worker. Este problema foi corrigido nas versões 3.2.12 e 3.3.0rc1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.