PT-2026-129187
CVE-2026-118666
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 4.0
6.0
متوسطةالمقاييسAV:N/AC:H/AT:P/PR:L/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
@graphql-tools/executor-legacy-ws الإصدارات السابقة لـ 1.1.36
الوصف
في دالة
buildWSLegacyExecutor يقوم البرنامج بإعادة استخدام WebSocket واحد واستبدال معالج websocket.onmessage الخاص به كلما بدأت اشتراكات متداخلة جديدة. يقوم المعالج بتسليم إطارات LEGACY WS.DATA إلى أحدث مراقب دون التحقق مما إذا كان data.id يتطابق مع معرف عملية الاشتراك. نتيجة لذلك يمكن لمستخدم يستخدم نفس المنفذ (executor) استلام حمولة اشتراك مصرح بها لمستخدم آخر بينما يتم حرمان المستخدم الأول من تدفق البيانات الخاص به. يؤدي هذا إلى تسريب بيانات عبر المستأجرين حيث يتم الكشف عن حمولات اشتراك GraphQL الخاصة لمستخدمين غير مصرح لهم.التوصيات
تحديث @graphql-tools/executor-legacy-ws إلى الإصدار 1.1.36 أو أحدث.
كإجراء مؤقت تجنب إعادة استخدام مثيل منفذ واحد عبر عدة مستخدمين وقم بدلاً من ذلك بإنشاء منفذ جديد لكل عملية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾