CVE-2026-45739

Strawberry GraphQL od wersji 0.217.0 do 0.326.1 ma podatność, w której PermissionExtension.resolve() na synchronicznym resolverze pola ocenia wynik has_permission() pod kątem prawdziwości. Gdy niestandardowe uprawnienie deklaruje has_permission() jako zwykłą funkcję, ale zwraca awaitable, supports_sync nie klasyfikuje go jako asynchronicznego, awaitable nie jest oczekiwany, a jego obiektowa wartość prawdziwa pozwala chronionemu resolverowi uruchomić się nawet gdy wynik byłby fałszywy.

Strawberry GraphQL w wersjach od 0.312.3 do 0.327.2 nie usuwa zakończonych operacji z list zadań i subskrypcji w legacy handlerze graphql-ws. Przy skonfigurowanym limicie subskrypcji na połączenie, klient może wykorzystać to do wyczerpania limitu, blokując późniejsze prawidłowe operacje. Problem został naprawiony w wersji 0.327.2.

Strawberry GraphQL w wersjach 0.172.0 do 0.315.6 nieprawidłowo liczy aliasy w przypadku rozwijania fragmentów (FragmentSpreadNode). Atakujący może ominąć limit aliasów i zmusić serwer do przetworzenia znacznie większej liczby aliasów niż dozwolona, co prowadzi do wyczerpania zasobów i odmowy usługi (DoS).

Biblioteka Strawberry GraphQL w wersjach od 0.71.0 do 0.315.6 zawiera podatność na atak DoS w rozszerzeniu QueryDepthLimiter. Brak wykrywania cykli w fragmentach zapytań prowadzi do nieskończonej rekurencji i błędu RecursionError. Problem został naprawiony w wersji 0.315.7.