PT-2026-121420
CVE-2026-75507
·
تاريخ النشر
2026-10-22
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
GraphQL-core الإصدارات من 3.0.0 إلى 3.2.11
GraphQL-core الإصدارات 3.3.0rc0 وما قبلها
Description
يمكن لمهاجم عن بُعد غير مصرح له التسبب في حالة رفض الخدمة من خلال إرسال استعلام GraphQL سطحي وقابل للضغط بشكل كبير. تكمن المشكلة في قاعدة التحقق
OverlappingFieldsCanBeMerged ضمن specified rules والتي تقوم بمقارنة الحقول التي تشترك في أسماء الاستجابة بشكل متكرر وتعيد مقارنة المجزئات المضمنة (inline fragments) المسطحة بشكل تكراري. نظرًا لأن التخزين المؤقت (memoization) لا يغطي هذا المسار، فإن المجزئات المضمنة المتكررة والمتداخلة يمكن أن تؤدي إلى استهلاك وحدة المعالجة المركزية بشكل تربيعي أو في أسوأ الحالات O(n²·m²) خلال مرحلة التحقق. يحدث هذا قبل تشغيل أي محلل (resolver) أو ضوابط العمق والتعقيد القائمة على AST، مما يسمح لطلب صغير بتعطيل عملية عمل (worker process) وإغراق الخدمات التي تعتمد على عدة عمال.Recommendations
تحديث GraphQL-core إلى الإصدار 3.2.12 أو 3.3.0rc1.
كإجراء تخفيف مؤقت، قم برفض المستندات ذات الحجم الزائد قبل وصولها إلى دالة
validate()، مع التأكد من تطبيق حد حجم الجسم على جسم الطلب بعد فك الضغط. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾