CVE-2026-118665

Nome do Software Vulnerável e Versões Afetadas @graphql-tools/executor-legacy-ws versões anteriores a 1.1.36

Descrição Na função buildWSLegacyExecutor em packages/executors/legacy-ws/src/index.ts, o objeto executorConnectionParams é retido no escopo de fechamento (closure) após o fechamento de uma conexão via cleanupWebsocket. Quando um único executor é reutilizado em diferentes contextos de autorização, uma solicitação subsequente que omita chaves sensíveis reutilizará os valores de Authorization ou de locatário (tenant) de um chamador anterior em seu payload connection init. Isso permite que um chamador posterior seja autenticado como um usuário anterior pelo servidor downstream. Este problema afeta especificamente aplicações que compartilham uma única instância de executor entre múltiplas solicitações; aplicações que criam um novo executor para cada solicitação não são afetadas.

Recomendações Atualize o @graphql-tools/executor-legacy-ws para a versão 1.1.36 ou posterior. Como medida paliativa temporária, evite reutilizar a mesma instância de executor entre diferentes usuários ou contextos de autorização e, em vez disso, crie um novo executor para cada solicitação.