PT-2026-30761 · Unknown · Strawberry Graphql

Katzj + 1 · Publicado 2026-04-06 · Atualizado 2026-06-05 · CVE-2026-35523

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions Strawberry GraphQL versões até 0.312.3

Description Strawberry GraphQL é suscetível a um bypass de autenticação em endpoints de assinatura WebSocket. O manipulador de subprotocolo graphql-ws legado não verifica a conclusão de um handshake connection init antes de processar mensagens de início (assinatura). Isso permite que um invasor ignore o hook de autenticação on ws connect conectando-se com o subprotocolo graphql-ws e enviando uma mensagem de início diretamente, sem uma mensagem connection init. O manipulador de subprotocolo graphql-transport-ws não é afetado. Aplicações que dependem de on ws connect para autenticação ou autorização são afetadas.

Recommendations Atualize para a versão 0.312.3 ou posterior. Alternativamente, desative o subprotocolo graphql-ws legado definindo subscription protocols=[GRAPHQL TRANSPORT WS PROTOCOL] em sua visualização/roteador GraphQL.

Correção

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2026-35523

GHSA-VPWC-V33Q-MQ89

PYSEC-2026-133

Produtos afetados

Strawberry Graphql

Referências · 11

• https://github.com/strawberry-graphql/strawberry · Nota
• https://github.com/strawberry-graphql/strawberry/security/advisories/GHSA-vpwc-v33q-mq89 · Aviso do Fabricante
• https://github.com/strawberry-graphql/strawberry/commit/0977a4e6b41b7cfe3e9d8ba84a43458a2b0c54c2 · Nota
• https://github.com/strawberry-graphql/strawberry/releases/tag/0.312.3 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/strawberry-graphql/PYSEC-2026-133.yaml · Nota
• https://osv.dev/vulnerability/GHSA-vpwc-v33q-mq89 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-35523 · Nota de Segurança
• https://twitter.com/CVEnew/status/2041570001313001602 · Publicação no Twitter
• https://osv.dev/vulnerability/ROOT-APP-PYPI-CVE-2026-35523 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2026-133 · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2041570776210456667 · Publicação no Twitter