CVE-2026-35526
Təsvir
Strawberry GraphQL, GraphQL API-ləri yaratmaq üçün nəzərdə tutulmuş kitabxanadır. 0.312.3 versiyasından əvvəl, Strawberry GraphQL-in həm graphql-transport-ws, həm də köhnə graphql-ws protokolları üçün WebSocket abunəlik idarəediciləri, hər bir qoşulma üçün aktiv abunəliklərin sayına heç bir məhdudiyyət tətbiq etmədən, daxil olan hər bir subscribe mesajı üçün asyncio.Task və müvafiq Operation obyekti ayırır. Autentifikasiya olunmamış hücumçu tək bir WebSocket qoşulması aça bilər, connection_init göndərə bilər və daha sonra unikal ID-lərə malik subscribe mesajları ilə sistemi yükləyə bilər. Hər bir mesaj şərtsiz olaraq yeni bir asyncio.Task və async generator yaradaraq yaddaşın xətti artmasına və hadisələrin dövrünün (event loop) doygunlaşmasına səbəb olur. Bu isə serverin performansının aşağı düşməsinə və ya OOM çökməsinə gətirib çıxarır. Bu zəiflik 0.312.3 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- strawberry strawberry_graphql0.312.3 və ya daha yeni versiya
- strawberry-graphql0.312.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| strawberry strawberry_graphql | v < 0.312.3 | 0.312.3 |
| strawberry-graphqlPyPI | v < 0.312.3 | 0.312.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.