PT-2026-33213 · Unknown · Graphql-Go

Ashwak N · Publicado 2026-04-14 · Atualizado 2026-05-21 · CVE-2026-40476

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Name of the Vulnerable Software and Affected Versions graphql-go versões anteriores a 15.31.5

Description A regra de validação OverlappingFieldsCanBeMerged apresenta complexidade de tempo quadrática ao processar consultas que contêm inúmeros campos repetidos que compartilham o mesmo nome de resposta. Especificamente, a função collectConflictsWithin() realiza comparações pareadas O(n²) desses campos. Um invasor pode explorar isso enviando uma consulta manipulada com milhares de campos idênticos, levando ao uso excessivo de CPU e exaustão de recursos durante a fase de validação, antes que a execução comece. Este problema não é mitigado pelas regras existentes de QueryDepth ou QueryComplexity.

Recommendations Atualizar para a versão 15.31.5.

Correção

DoS

Enumeração de Fraquezas

CWE-407

Identificadores relacionados

CVE-2026-40476

GHSA-68JQ-C3RV-PCRR

Produtos afetados

Graphql-Go

Referências · 8

• https://github.com/webonyx/graphql-php/security/advisories/GHSA-68jq-c3rv-pcrr · Aviso do Fabricante
• https://github.com/webonyx/graphql-php · Nota
• https://github.com/webonyx/graphql-php/releases/tag/v15.31.5 · Nota
• https://twitter.com/VulmonFeeds/status/2045380917972107368 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2045467375898665287 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-40476 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-68jq-c3rv-pcrr · Aviso do Fabricante
• https://t.me/cveNotify/164429 · Publicação no Telegram