CVE-2026-75507
Açıklama
GraphQL-core, GraphQL.js referans uygulamasının bir Python portudur. 3.0.0 ile 3.2.12 ve 3.3.0rc1 arasındaki sürümlerde, specified_rules içerisindeki OverlappingFieldsCanBeMerged kuralı, doğrulama aşamasında yanıt isimlerini paylaşan alanları tekrar tekrar karşılaştırır ve düzleştirilmiş satır içi fragmanları özyinelemeli olarak yeniden karşılaştırır. Önceki adlandırılmış-fragman önbelleğe alma işlemi bu yolu kapsamadığından, iç içe geçmiş tekrarlanan satır içi fragmanlar; herhangi bir çözücü veya AST tabanlı derinlik ya da karmaşıklık kontrolü çalışmadan önce kuadratik ve en kötü durumda O(n²·m²) CPU yüküne neden olabilir. Kimliği doğrulanmamış uzaktaki bir saldırgan, bir çalışan süreci kilitleyen ve çoklu çalışanlı bir servisi doyurabilen sığ, yüksek düzeyde sıkıştırılabilir bir GraphQL sorgusu gönderebilir. Bu sorun 3.2.12 ve 3.3.0rc1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- graphql-core3.2.12, 3.3.0rc1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| graphql-corePyPI | 3.0.0 ≤ v < 3.2.12, 3.3.0a1 ≤ v < 3.3.0rc1 | 3.2.12, 3.3.0rc1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.