CVE-2026-47706

Strawberry GraphQL od wersji 0.217.0 do 0.326.1 ma podatność, w której PermissionExtension.resolve() na synchronicznym resolverze pola ocenia wynik has_permission() pod kątem prawdziwości. Gdy niestandardowe uprawnienie deklaruje has_permission() jako zwykłą funkcję, ale zwraca awaitable, supports_sync nie klasyfikuje go jako asynchronicznego, awaitable nie jest oczekiwany, a jego obiektowa wartość prawdziwa pozwala chronionemu resolverowi uruchomić się nawet gdy wynik byłby fałszywy.

Strawberry GraphQL w wersjach od 0.312.3 do 0.327.2 nie usuwa zakończonych operacji z list zadań i subskrypcji w legacy handlerze graphql-ws. Przy skonfigurowanym limicie subskrypcji na połączenie, klient może wykorzystać to do wyczerpania limitu, blokując późniejsze prawidłowe operacje. Problem został naprawiony w wersji 0.327.2.

Strawberry GraphQL w wersjach 0.172.0 do 0.315.6 nieprawidłowo liczy aliasy w przypadku rozwijania fragmentów (FragmentSpreadNode). Atakujący może ominąć limit aliasów i zmusić serwer do przetworzenia znacznie większej liczby aliasów niż dozwolona, co prowadzi do wyczerpania zasobów i odmowy usługi (DoS).

W bibliotece Strawberry GraphQL w wersjach 0.288.4 do 0.315.3 wykryto, że szablon GraphiQL zapisywał wartości z edytora nagłówków do parametrów URL w przeglądarce. Może to ujawnić wrażliwe nagłówki, takie jak tokeny autoryzacyjne.