CVE-2026-104852

GraphQL Tools, GraphQL sxemlərinin qurulması, birləşdirilməsi və mock edilməsi üçün köməkçi vasitələr təmin edir. 12.0.1 versiyasına qədər GraphQL Tools utils paketinin mergeDeep funksiyası mənbə obyektlərini rekursiv şəkildə birləşdirərkən miras alınan xüsusiyyətləri izləyir və __proto__, constructor və ya prototype açarlarını istisna etmir. Autentifikasiya olunmamış GraphQL kliyenti sahələri bu adlarla ləqəbləndirə bilər, beləliklə adi supergraph nəticələrinin birləşdirilməsi zamanı iki altqrafdan gələn cavablar toqquşur və bu, mergeDeep funksiyasının Object və Function prototiplərini keçərək Function.prototype.call metodunu altqraf tərəfindən təmin edilən dəyərlə əvəz etməsinə səbəb olur. Bu, yenidən başladılana qədər prosesdəki növbəti sorğuları sıradan çıxarır. Problem 12.0.1 versiyasında düzəldilmişdir.