CVE-2026-75508 in graphql-core
Tóm tắt
Bởi VulDB • 22/10/2026
GraphQL-core là một bản port Python của implementation tham chiếu GraphQL.js. Từ phiên bản 3.2.3 đến 3.2.12 và 3.3.0rc1, giới hạn max_tokens trong Parser.advance_lexer chỉ đếm các non-comment tokens được trả về sau khi Lexer.lookahead bỏ qua các comments. Mỗi comment bị bỏ qua vẫn được allocate dưới dạng một Token và được giữ lại thông qua token.next và token.prev, cho phép một tài liệu GraphQL có chứa nhiều comments (có thể nén cao) vượt qua giới hạn token thấp trong khi tiêu thụ bộ nhớ. Một attacker từ xa chưa xác thực có thể làm cạn kiệt memory của worker trước khi các cơ chế kiểm soát độ sâu hoặc độ phức tạp dựa trên AST được kích hoạt. Vấn đề này đã được sửa chữa trong các phiên bản 3.2.12 và 3.3.0rc1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.