CVE-2026-118666

Nome do Software Vulnerável e Versões Afetadas @graphql-tools/executor-legacy-ws versões anteriores a 1.1.36

Descrição Na função buildWSLegacyExecutor, o software reutiliza um único WebSocket e substitui seu manipulador websocket.onmessage sempre que uma nova assinatura sobreposta é iniciada. O manipulador entrega quadros LEGACY WS.DATA ao observador mais recente sem verificar se o data.id corresponde ao ID da operação de assinatura. Consequentemente, um usuário que compartilha o mesmo executor pode receber a carga de assinatura autorizada de outro usuário, enquanto o fluxo do usuário original é interrompido. Isso resulta em um vazamento de dados entre locatários, onde cargas de assinatura GraphQL privadas são expostas a chamadores não autorizados.

Recomendações Atualize o @graphql-tools/executor-legacy-ws para a versão 1.1.36 ou posterior. Como solução temporária, evite reutilizar uma única instância do executor entre vários chamadores e, em vez disso, construa um novo executor para cada operação.