CVE-2026-30241
Açıklama
Mercurius, Fastify için bir GraphQL adaptörüdür. Versiyon 16.8.0 öncesinde Mercurius, WebSocket bağlantıları üzerinden alınan GraphQL abonelik sorgularında yapılandırılmış queryDepth sınırını uygulamada başarısız olur. Derinlik kontrolü HTTP sorguları ve mutasyonlara doğru şekilde uygulanırken, abonelik sorguları derinlik doğrulaması çağrılmadan ayrıştırılır ve yürütülür. Bu durum, uzak bir istemcinin WebSocket üzerinden keyfi olarak derin iç içe geçmiş abonelik sorguları göndermesine ve hedeflenen derinlik kısıtlamasını atlatmasına olanak tanır. Özyinelemeli türlere sahip şemalarda bu durum, her abonelik olayında üstel veri çözümlemesi yoluyla hizmet reddine yol açabilir. Bu sorun versiyon 16.8.0 ile düzeltilmiştir.
Nasıl düzeltilir
- mercurius_project mercurius16.8.0 ya da sonraki bir sürüm
- mercurius16.8.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mercurius_project mercurius | v < 16.8.0 | 16.8.0 |
| mercuriusnpm | v < 16.8.0 | 16.8.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.