CVE-2026-75508

Nome do Software Vulnerável e Versões Afetadas GraphQL-core versões 3.2.3 até 3.2.11 GraphQL-core versão 3.3.0rc1 (antes da correção)

Description Um invasor remoto não autenticado pode causar a negação de serviço através do esgotamento de memória. O problema ocorre porque o limite max tokens em Parser.advance lexer() conta apenas tokens que não são comentários. Embora o Lexer.lookahead() ignore os comentários, cada comentário ignorado ainda é alocado como um objeto Token e retido na memória via token.next e token.prev. Um documento altamente compressível preenchido com inúmeros comentários pode burlar a verificação de max tokens enquanto consome memória residente significativa, potencialmente desencadeando a interrupção do processo do worker por falta de memória (OOM kill). Isso ocorre antes que os controles de profundidade ou complexidade baseados em AST sejam executados.

Recommendations Atualize o GraphQL-core para a versão 3.2.12 ou 3.3.0rc1. Como medida de mitigação, aplique um limite de tamanho do corpo da requisição ao corpo descompactado antes que ele chegue à função parse().