- Son 7 gün
- CWE-400
- CWE-407
CVE-2026-75507
GraphQL-core'da OverlappingFieldsCanBeMerged doğrulama kuralı nedeniyle hizmet dışı bırakma
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
GraphQL-core, GraphQL.js referans uygulamasının bir Python portudur. 3.0.0 sürümünden 3.2.12 sürümüne kadar ve 3.3.0rc1 sürümünde, specified_rules içindeki OverlappingFieldsCanBeMerged kuralı, doğrulama aşamasında aynı yanıt adlarını paylaşan alanları tekrar tekrar karşılaştırmakta ve düzleştirilmiş satır içi fragmanları yinelemeli olarak yeniden karşılaştırmaktadır. Önceden var olan adlandırılmış fragman belleğe alma mekanizması bu yolu kapsamadığından, iç içe tekrar eden satır içi fragmanlar karesel ve en kötü durumda O(n²·m²) işlem karmaşıklığına yol açabilmekte, bu işlem herhangi bir çözümleyici (resolver) veya AST tabanlı derinlik ya da karmaşıklık kontrolü çalışmadan önce gerçekleşmektedir. Kimlik doğrulaması yapılmamış uzak bir saldırgan, sığ ve yüksek oranda sıkıştırılabilir bir GraphQL sorgusu göndererek bir çalışan işlemi meşgul edebilir ve çok işlemcili bir hizmeti doygunluğa ulaştırabilir. Sorun 3.2.12 ve 3.3.0rc1 sürümlerinde giderilmiştir. CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H vektörü ile 7.5 (YÜKSEK) skoru verilmiştir. İlgili zayıflık türleri: CWE-400 ve CWE-407.
Kaynaktaki açıklama (İngilizce)
GraphQL-core is a Python port of the GraphQL.js reference implementation. From 3.0.0 until 3.2.12 and 3.3.0rc1, the OverlappingFieldsCanBeMerged rule in specified_rules repeatedly compares fields that share response names and recursively re-compares flattened inline fragments during the validation phase. The prior named-fragment memoization does not cover this path, so nested repeated inline fragments can drive quadratic and worst-case O(n²·m²) CPU work before any resolver or AST-based depth or complexity control runs. An unauthenticated remote attacker can submit a shallow, highly compressible GraphQL query that pins a worker process and can saturate a multi-worker service. This issue is fixed in versions 3.2.12 and 3.3.0rc1.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| graphql-python graphql-core | Sürüm belirtilmemiş | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…l-core/security/advisories/GHSA-vj8h-fx38-h3vc Diğer
- github.com/…ommit/150e59814d97d12140be005a558c93188ef89198 Diğer
- github.com/…ommit/29c2753a7ee30a96a4109e7c6add1a2dae0497d7 Diğer
- github.com/graphql-python/graphql-core/releases/tag/v3.2.12 Diğer
- github.com/…hql-python/graphql-core/releases/tag/v3.3.0rc1 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.