GraphQL-core — épuisement mémoire par commentaires contournant max_tokens

Veille sécuritéBackend & données

P3Élevée

GraphQL-core ne comptabilise pas les commentaires ignorés par l’analyse lexicale dans sa limite max_tokens, alors que leurs jetons restent alloués en mémoire. Un document GraphQL fortement rempli de commentaires peut ainsi épuiser la mémoire d’un service exposé; les versions correctrices indiquées sont 3.2.12 et 3.3.0rc1.

IdentifiantCVE-2026-75508

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif3.2.12 et 3.3.0rc1

Source : Avis GitHub GHSA-r77w-qph3-7vf8

Analyse technique

Parser.advance_lexer ne compte que les jetons non-commentaires; les jetons de commentaire alloués demeurent liés via token.next et token.prev. La source indique que l’épuisement mémoire peut survenir avant l’application de contrôles AST de profondeur ou de complexité.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-22T17:16:59.933Z, pendant la période; la publication d’une vulnérabilité nouvelle est retenue.

ImpactDéni de service par épuisement de la mémoire des travailleurs.

Versions affectéesGraphQL-core 3.2.3 à versions antérieures à 3.2.12, ainsi que 3.3.0rc1 selon la fiche fournie

Version corrigée3.2.12 et 3.3.0rc1

ContournementEn attendant la mise à niveau, imposer une limite à la taille du corps de requête après décompression avant l’analyse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

Publication2026-10-22T17:16:59.933Z

Mise à jour2026-10-22T17:40:46.877Z

Action recommandée

Mettre à niveau vers GraphQL-core 3.2.12 ou 3.3.0rc1 selon la branche utilisée; appliquer également des limites de taille de requête côté service.

Sources

Priorisation DFS : P3 · 2 source(s).