- Son 7 gün
- CWE-400
- CWE-770
CVE-2026-75508
GraphQL-core'da yorum belirteçleri nedeniyle max_tokens sınırının aşılması ve hizmet dışı bırakma
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
GraphQL-core, GraphQL.js referans uygulamasının bir Python portudur. 3.2.3 ile 3.2.12 sürümleri ve 3.3.0rc1 sürümünde, ayrıştırıcının Parser.advance_lexer fonksiyonundaki max_tokens sınırı, Lexer.lookahead yorumları atladıktan sonra yalnızca yorum olmayan belirteçleri sayar. Atlanan her yorum yine de bir Token olarak bellekte ayrılır ve token.next ile token.prev üzerinden tutulmaya devam eder. Bu durum, yüksek oranda sıkıştırılabilir, yorumlarla doldurulmuş bir GraphQL belgesinin düşük belirteç sınırını aşmasına ve bellek tüketmesine olanak tanır. Kimlik doğrulaması yapılmamış bir uzak saldırgan, AST tabanlı derinlik veya karmaşıklık kontrolleri çalışmadan önce çalışan süreçlerin belleğini tüketebilir. Bu sorun 3.2.12 ve 3.3.0rc1 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
GraphQL-core is a Python port of the GraphQL.js reference implementation. From 3.2.3 until 3.2.12 and 3.3.0rc1, the parser's max_tokens limit in Parser.advance_lexer counts only non-comment tokens returned after Lexer.lookahead skips comments. Each skipped comment is still allocated as a Token and retained through token.next and token.prev, allowing a highly compressible comment-padded GraphQL document to pass a low token limit while consuming memory. An unauthenticated remote attacker can exhaust worker memory before AST-based depth or complexity controls run. This issue is fixed in versions 3.2.12 and 3.3.0rc1.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| graphql-python graphql-core | Sürüm belirtilmemiş | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…l-core/security/advisories/GHSA-r77w-qph3-7vf8 Diğer
- github.com/…ommit/437dea102e92fdf05a2971ca76787c5a5bad875a Diğer
- github.com/…ommit/80ef435a1808fbbcc4aaac63ae76771a1c91002d Diğer
- github.com/graphql-python/graphql-core/releases/tag/v3.2.12 Diğer
- github.com/…hql-python/graphql-core/releases/tag/v3.3.0rc1 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.