CVE-2026-103921

WysokieCVSS 7.4

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

W GraphQL Tools przed wersją 1.1.35 funkcja buildWSLegacyExecutor() w executor-legacy-ws ma na stałe wyłączone odrzucanie certyfikatów TLS dla połączeń Node.js do endpointów wss://. Aplikacje używające tego executora lub url-loader z SubscriptionProtocol.LEGACY_WS mogą akceptować certyfikat kontrolowany przez atakującego.

Ocena ryzyka

Atakujący na pozycji sieciowej może przechwycić połączenie, ujawnić dane uwierzytelniające w connectionParams lub nagłówkach oraz modyfikować dane subskrypcji.

Rekomendacja

Należy zaktualizować GraphQL Tools do wersji 1.1.35 lub nowszej, która naprawia ten problem.

Inne podatności w GraphQL Tools

CVE-2026-104852Wysokie
GraphQL Tools przed wersją 12.0.1, w funkcji mergeDeep pakietu utils, podczas rekurencyjnego scalania obiektów źródłowych nie wyklucza kluczy __proto__, constructor i prototype. Uwierzytelniony klient GraphQL może aliasować pola do tych nazw, powodując kolizje odpowiedzi z dwóch subgrafów podczas scalania wyników supergrafu, co prowadzi do nadpisania Function.prototype.call wartością dostarczoną przez subgraf. To przerywa kolejne żądania w procesie aż do restartu.

Oryginalny opis (angielski, źródło NVD)

GraphQL Tools provides utilities for building, stitching, and mocking GraphQL schemas. Prior to 1.1.35, the executor-legacy-ws buildWSLegacyExecutor() function hardcodes TLS certificate rejection off for Node.js connections to wss:// endpoints. Applications using the executor directly, or url-loader with SubscriptionProtocol.LEGACY_WS, can therefore accept an attacker-controlled certificate when a network-positioned attacker intercepts the connection. Authentication material in connectionParams or headers can be disclosed, and subscription data can be modified. Browser WebSocket clients are unaffected because browsers enforce certificate validation. This issue is fixed in version 1.1.35.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS