CVE-2026-47706
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Biblioteka Strawberry GraphQL w wersjach od 0.71.0 do 0.315.6 zawiera podatność na atak DoS w rozszerzeniu QueryDepthLimiter. Brak wykrywania cykli w fragmentach zapytań prowadzi do nieskończonej rekurencji i błędu RecursionError. Problem został naprawiony w wersji 0.315.7.
Ocena ryzyka
Atakujący może zdalnie spowodować awarię procesu walidacji zapytań, co prowadzi do przerwania działania usługi (DoS).
Rekomendacja
Należy zaktualizować bibliotekę Strawberry GraphQL do wersji 0.315.7 lub nowszej.
Inne podatności w Strawberry GraphQL
Zobacz wszystkie- CVE-2026-47707Średnie
Strawberry GraphQL w wersjach 0.172.0 do 0.315.6 nieprawidłowo liczy aliasy w przypadku rozwijania fragmentów (FragmentSpreadNode). Atakujący może ominąć limit aliasów i zmusić serwer do przetworzenia znacznie większej liczby aliasów niż dozwolona, co prowadzi do wyczerpania zasobów i odmowy usługi (DoS).
- CVE-2026-45739Niskie
W bibliotece Strawberry GraphQL w wersjach 0.288.4 do 0.315.3 wykryto, że szablon GraphiQL zapisywał wartości z edytora nagłówków do parametrów URL w przeglądarce. Może to ujawnić wrażliwe nagłówki, takie jak tokeny autoryzacyjne.
Oryginalny opis (angielski, źródło NVD)
Strawberry GraphQL is a library for creating GraphQL APIs. In versions 0.71.0 through 0.315.6, the QueryDepthLimiter extension is vulnerable to an Application-level DOS due to a lack of cycle detection in fragment spreads. When a query contains circular fragment references the determine_depth function enters an infinite recursion, leading to a RecursionError and crashing the validation process. Version 0.315.7 patches the issue.