CVE-2026-75507

GraphQL-core, GraphQL.js referans tətbiqinin Python portudur. 3.0.0 versiyasından 3.2.12 və 3.3.0rc1 versiyalarına qədər, specified_rules daxilindəki OverlappingFieldsCanBeMerged qaydası validasiya mərhələsində cavab adlarını paylaşan sahələri dəfələrlə müqayisə edir və düzləşdirilmiş inline fragmentləri rekursiv olaraq yenidən müqayisə edir. Əvvəlki named-fragment memoizasiyası bu yolu əhatə etmir, buna görə də iç-içə təkrarlanan inline fragmentlər hər hansı bir resolver və ya AST-əsaslı dərinlik və mürəkkəblik nəzarəti işə düşməzdən əvvəl kvadratik və ən pis halda O(n²·m²) CPU resurslarının sərf edilməsinə səbəb ola bilər. Autentifikasiya olunmamış uzaqdakı hücumçu, işçi prosesini (worker process) bloklayan və çoxişçili (multi-worker) xidməti doyura bilən dayaz, yüksək sıxıla bilən GraphQL sorğusu göndərə bilər. Bu problem 3.2.12 və 3.3.0rc1 versiyalarında düzəldilib.