Podatności graphql-go
3 znanych podatności CVE w graphql-go, przetłumaczonych i ocenionych.
- CVE-2026-40476Wysokie
W wersjach 15.31.4 i poniżej, reguła walidacji OverlappingFieldsCanBeMerged w bibliotece graphql-go wykonuje porównania pól o tej samej nazwie odpowiedzi w czasie O(n²). Atakujący może wysłać zapytanie z tysiącami powtarzających się identycznych pól, co prowadzi do nadmiernego zużycia CPU podczas walidacji.
- CVE-2026-80051Średnie
github.com/graphql-go/graphql (GraphQL dla Go) do wersji 0.8.1 nie sprawdza, czy wartość zmiennej skalarnej odpowiada zadeklarowanemu typowi. Wbudowane funkcje coerceString i coerceBool (scalars.go) akceptują dane wejściowe, których typ nie pasuje do zadeklarowanego skalara String, ID lub Boolean, zamiast zgłaszać błąd żądania wymagany przez specyfikację GraphQL. W niektórych przypadkach (ale nie w typowym przypadku JSON wysyłanego do strony internetowej) głęboko zagnieżdżona wartość prowadzi do nieodwracalnego błędu "fatal error: stack overflow".
- CVE-2022-37315Wysokie
graphql-go (znany jako GraphQL for Go) do wersji 0.8.0 ma nieskończoną rekurencję w parserze definicji typów.