PT-2026-46249 · Pypi · Strawberry Graphql

Gonas0919 · Publicado 2026-06-04 · Atualizado 2026-06-04 · CVE-2026-47706

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Nome do Software Vulnerável e Versões Afetadas Strawberry GraphQL versões 0.71.0 a 0.315.6

Description A extensão QueryDepthLimiter está suscetível a uma Negação de Serviço (DoS) ao nível da aplicação. Isso ocorre porque a função determine depth() em query depth limiter.py carece de detecção de ciclos ao resolver fragment spreads. Se uma consulta contiver referências circulares de fragmentos, a função entra em uma recursão infinita, resultando em um RecursionError que interrompe o processo de validação. Isso permite que um invasor esgote os ciclos de CPU do servidor e os pools de threads ou workers, já que a validação ocorre antes da execução da consulta.

Recommendations Atualize para a versão 0.315.7.

Exploit

Correção

Uncontrolled Recursion

Resource Exhaustion

Enumeração de Fraquezas

CWE-674

CWE-400

Identificadores relacionados

CVE-2026-47706

GHSA-QFWV-87QJ-98XQ

Produtos afetados

Strawberry Graphql

Referências · 5

• 🔥 https://github.com/strawberry-graphql/strawberry/security/advisories/GHSA-qfwv-87qj-98xq · Exploit
• https://github.com/strawberry-graphql/strawberry · Nota
• https://github.com/strawberry-graphql/strawberry/releases/tag/0.315.7 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-47706 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-qfwv-87qj-98xq · Aviso do Fabricante