CVE-2026-103921

Yüksek

Açıklama

GraphQL Tools; GraphQL şemaları oluşturmak, birleştirmek ve taklit etmek için yardımcı araçlar sağlar. 1.1.35 sürümünden önce, executor-legacy-ws içerisindeki buildWSLegacyExecutor() fonksiyonu, wss:// uç noktalarına yapılan Node.js bağlantıları için TLS sertifika reddini kapalı olarak sabitler. Bu nedenle, executor'ı doğrudan veya SubscriptionProtocol.LEGACY_WS ile url-loader'ı kullanan uygulamalar, ağ konumundaki bir saldırgan bağlantıyı kestiğinde saldırgan tarafından kontrol edilen bir sertifikayı kabul edebilir. connectionParams veya header'lardaki kimlik doğrulama bilgileri ifşa edilebilir ve abonelik verileri değiştirilebilir. Tarayıcılar sertifika doğrulamasını zorunlu kıldığı için tarayıcı WebSocket istemcileri bu durumdan etkilenmez. Bu sorun 1.1.35 sürümünde düzeltilmiştir.

ÖnemYüksek

CVSS7.4

İstismar olasılığı—

Ürün@graphql-tools/executor-legacy-ws

Yayın1 Eki 2026

İlk görülme1 Eki 2026

Zayıflık türüCWE-295CWE-295

Nasıl düzeltilir

Güncelleyin

@graphql-tools/executor-legacy-ws1.1.35 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
@graphql-tools/executor-legacy-wsnpm	v < 1.1.35	1.1.35

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.