CVE-2026-103921

GraphQL Tools, GraphQL sxemlərinin qurulması, birləşdirilməsi və mock edilməsi üçün köməkçi vasitələr təmin edir. 1.1.35 versiyasına qədər, executor-legacy-ws daxilindəki buildWSLegacyExecutor() funksiyası wss:// son nöqtələrinə olan Node.js bağlantıları üçün TLS sertifikatının rədd edilməsini sabit şəkildə söndürür. Buna görə də, executor-dan birbaşa istifadə edən tətbiqlər və ya SubscriptionProtocol.LEGACY_WS ilə url-loader istifadə edən tətbiqlər, şəbəkədə mövqelənmiş hücumçu bağlantını ələ keçirdiyi zaman hücumçunun nəzarət etdiyi sertifikatı qəbul edə bilər. connectionParams və ya başlıqlardakı autentifikasiya məlumatları açıqlana bilər və abunəlik məlumatları dəyişdirilə bilər. Brauzer WebSocket kliyentləri buna təsir etmir, çünki brauzerlər sertifikatın yoxlanılmasını məcburi tətbiq edir. Bu problem 1.1.35 versiyasında düzəldilmişdir.