CVE-2026-59289
NieznaneStreszczenie
Wsparcie paginacji Spring Data w Spring for GraphQL rozwiązuje argumenty zapytania przewijanego i przekazuje wartości dostarczone przez klienta do bazowego repozytorium. Atakujący może sfałszować złośliwe zapytanie dla pola Connection, co może wyczerpać pamięć aplikacji lub spowodować znaczące, długotrwałe obciążenie bazowego magazynu danych, prowadząc do Denial of Service. Dotyczy Spring for GraphQL w wersjach 2.0.0-2.0.4, 1.4.0-1.4.6 oraz 1.2.0-1.3.9.
Ocena ryzyka
Atakujący może spowodować niedostępność aplikacji poprzez przeciążenie pamięci lub bazy danych, co może prowadzić do przerw w działaniu usług.
Rekomendacja
Zaleca się aktualizację Spring for GraphQL do najnowszej wersji z poprawką oraz wdrożenie limitów zapytań i walidacji argumentów.
Oryginalny opis (angielski, źródło NVD)
Spring for GraphQL's Spring Data pagination support resolves arguments of a scrollable query and forwards the client-supplied values to the underlying repository. An attacker can forge a malicious query for a Connection field that can exhaust application memory or place significant, prolonged load on the underlying datastore, resulting in a Denial of Service. Spring for GraphQL 2.0.0 - 2.0.4 Spring for GraphQL 1.4.0 - 1.4.6 Spring for GraphQL 1.2.0 - 1.3.9