CVE-2026-30241 in mercurius
Tóm tắt
Bởi VulDB • 01/06/2026
Mercurius là một bộ điều hợp GraphQL cho Fastify. Trước phiên bản 16.8.0, Mercurius không thực thi giới hạn queryDepth đã được cấu hình đối với các truy vấn đăng ký (subscription queries) GraphQL nhận được qua các kết nối WebSocket. Kiểm tra độ sâu được áp dụng chính xác đối với các truy vấn HTTP và các hoạt động thay đổi (mutations), nhưng các truy vấn đăng ký được phân tích cú pháp và thực thi mà không kích hoạt xác thực độ sâu. Điều này cho phép một máy khách từ xa gửi các truy vấn đăng ký có độ sâu lồng nhau tùy ý qua WebSocket, vượt qua hạn chế độ sâu dự kiến. Trên các lược đồ (schemas) có các kiểu dữ liệu đệ quy, điều này có thể dẫn đến tình trạng từ chối dịch vụ (DoS) do việc giải quyết dữ liệu theo cấp số nhân trên mỗi sự kiện đăng ký. Vấn đề này đã được vá trong phiên bản 16.8.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.