CVE-2026-75507

Nome do Software Vulnerável e Versões Afetadas GraphQL-core versões 3.0.0 até 3.2.11 GraphQL-core versões 3.3.0rc0 e anteriores

Description Um invasor remoto não autenticado pode causar a negação de serviço ao enviar uma consulta GraphQL rasa e altamente compressível. O problema reside na regra de validação OverlappingFieldsCanBeMerged dentro de specified rules, que compara repetidamente campos que compartilham nomes de resposta e re-compara recursivamente fragmentos inline achatados. Como a memoização não cobre este caminho, fragmentos inline repetidos e aninhados podem levar a um consumo de CPU quadrático ou, no pior caso, O(n²·m²) durante a fase de validação. Isso ocorre antes que qualquer resolver ou controles de profundidade e complexidade baseados em AST sejam executados, permitindo que uma solicitação pequena trave um processo de trabalho e sature serviços com múltiplos workers.

Recommendations Atualize o GraphQL-core para a versão 3.2.12 ou 3.3.0rc1. Como mitigação temporária, rejeite documentos excessivamente grandes antes que eles cheguem à função validate(), garantindo que o limite de tamanho do corpo seja aplicado ao corpo da solicitação descompactado.