CVE-2026-107728

Strawberry GraphQL, GraphQL API'leri oluşturmak için kullanılan bir kütüphanedir. 0.217.0 ile 0.326.1 sürümleri arasında, senkron bir alan çözücü üzerindeki PermissionExtension.resolve(), has_permission() sonucunu doğruluk değeri (truthiness) açısından değerlendirmektedir. Özel bir izin, has_permission()'ı normal bir fonksiyon olarak tanımlayıp bekletilebilir (awaitable) bir değer döndürdüğünde, supports_sync bunu asenkron olarak sınıflandırmaz; bekletilebilir değer beklenmez ve nesnenin doğal olarak doğru kabul edilen değeri, sonuç yanlış (false) olsa bile korumalı çözücünün çalışmasına izin verir. Bu durum, hem execute_sync() hem de execute() altındaki senkron alan çözücülerini etkilemektedir; async def has_permission() ile tanımlanan izinler ve boolean döndüren senkron izinler bu durumdan etkilenmemektedir. Bu sorun 0.326.1 sürümünde düzeltilmiştir.