PT-2026-129186
CVE-2026-118665
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
@graphql-tools/executor-legacy-ws الإصدارات السابقة لـ 1.1.36
الوصف
في دالة
buildWSLegacyExecutor ضمن packages/executors/legacy-ws/src/index.ts يتم الاحتفاظ بالكائن executorConnectionParams في نطاق الإغلاق (closure scope) بعد إغلاق الاتصال عبر cleanupWebsocket. عندما يتم إعادة استخدام منفذ (executor) واحد عبر سياقات تفويض مختلفة، فإن الطلب اللاحق الذي يحذف المفاتيح الحساسة سيقوم بإعادة استخدام قيم Authorization أو قيم المستأجر (tenant) الخاصة بمستدعي سابق في حمولة connection init الخاصة به. يؤدي هذا إلى قيام الخادم النهائي بمصادقة المستدعي اللاحق على أنه المستخدم السابق. تؤثر هذه المشكلة تحديداً على التطبيقات التي تشارك مثيلاً واحداً من المنفذ عبر طلبات متعددة؛ أما التطبيقات التي تنشئ منفذاً جديداً لكل طلب فلا تتأثر.التوصيات
تحديث @graphql-tools/executor-legacy-ws إلى الإصدار 1.1.36 أو إصدار أحدث.
كإجراء مؤقت، تجنب إعادة استخدام نفس مثيل المنفذ عبر مستخدمين أو سياقات تفويض مختلفة، وقم بدلاً من ذلك بإنشاء منفذ جديد لكل طلب.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾