PT-2026-46250 · Unknown · Strawberry Graphql

Gonas0919 · Publicado 2026-06-04 · Atualizado 2026-06-04 · CVE-2026-47707

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Nome do Software Vulnerável e Versões Afetadas Strawberry GraphQL versões 0.172.0 a 0.315.6

Description A extensão MaxAliasesLimiter não contabiliza o efeito multiplicativo do FragmentSpreadNode. Embora os aliases estáticos dentro da Árvore de Sintaxe Abstrata (AST) sejam contados, o sistema não considera quantas vezes os aliases internos de um fragmento são expandidos durante a execução. Isso permite que um invasor ignore os limites de alias e force o servidor a resolver e renderizar um número significativamente maior de aliases do que o permitido, podendo levar a uma negação de serviço (DoS) via exaustão de recursos de CPU e memória.

Recommendations Atualize para a versão 0.315.7.

Exploit

Correção

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2026-47707

GHSA-FR49-MHGJ-CRFC

Produtos afetados

Strawberry Graphql

Referências · 6

• 🔥 https://github.com/strawberry-graphql/strawberry/security/advisories/GHSA-fr49-mhgj-crfc · Exploit
• https://github.com/strawberry-graphql/strawberry · Nota
• https://github.com/strawberry-graphql/strawberry/releases/tag/0.315.7 · Nota
• https://twitter.com/VulmonFeeds/status/2062566382814785882 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-47707 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-fr49-mhgj-crfc · Aviso do Fabricante