CVE-2026-75508 in graphql-core
Сводка
по VulDB • 22.10.2026
GraphQL-core представляет собой порт на Python референсной реализации GraphQL.js. В версиях от 3.2.3 до 3.2.12 включительно, а также в версии 3.3.0rc1 лимит максимального количества токенов (max_tokens) парсера в функции Parser.advance_lexer учитывает только непустые токены, возвращаемые после того, как Lexer.lookahead пропускает комментарии. Каждый пропущенный комментарий все равно выделяется как объект Token и сохраняется через ссылки token.next и token.prev, что позволяет высоко сжимаемому GraphQL-документу, насыщенному комментариями, проходить проверку на низкий лимит токенов при этом потребляя значительное количество памяти. Неавторизованный удаленный злоумышленник может исчерпать память рабочих процессов (workers) до того, как сработают механизмы контроля глубины или сложности на основе AST. Эта проблема исправлена в версиях 3.2.12 и 3.3.0rc1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.