PT-2026-121421
CVE-2026-75508
·
تاريخ النشر
2026-10-22
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
GraphQL-core الإصدارات من 3.2.3 إلى 3.2.11
GraphQL-core الإصدار 3.3.0rc1 (قبل الإصلاح)
Description
يمكن لمهاجم عن بُعد غير مصرح له التسبب في حالة رفض الخدمة من خلال استنفاد الذاكرة. تكمن المشكلة في أن حد
max tokens في Parser.advance lexer() يحسب فقط الرموز (tokens) التي ليست تعليقات. وبينما يقوم Lexer.lookahead() بتجاوز التعليقات، يتم تخصيص كل تعليق تم تجاوزه ككائن Token ويتم الاحتفاظ به في الذاكرة عبر token.next و token.prev. يمكن لمستند قابل للضغط بشكل كبير ومملوء بتعليقات عديدة أن يتجاوز فحص max tokens مع استهلاك ذاكرة مقيمة كبيرة، مما قد يؤدي إلى إنهاء عملية العامل بسبب نفاد الذاكرة (OOM kill). يحدث هذا قبل تنفيذ ضوابط العمق أو التعقيد المستندة إلى AST.Recommendations
تحديث GraphQL-core إلى الإصدار 3.2.12 أو 3.3.0rc1.
كإجراء تخفيفي، قم بتطبيق حد لحجم جسم الطلب على الجسم الذي تم فك ضغطه قبل وصوله إلى دالة
parse(). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾