GraphQL Tools : résultats d’abonnements WebSocket transmis au mauvais appelant

Veille sécuritéBackend & données

P4Moyenne

Lors d’abonnements simultanés partageant le même exécuteur, le gestionnaire WebSocket peut transmettre les résultats d’un abonnement au mauvais appelant. Cela peut exposer des données auxquelles l’autre abonnement a accès et interrompre la réception des résultats par l’abonnement initial.

IdentifiantCVE-2026-118666

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif@graphql-tools/executor-legacy-ws 1.1.36

Source : CVE-2026-118666 — NVD

Analyse technique

Le gestionnaire websocket.onmessage est remplacé au démarrage d’un nouvel abonnement et distribue les trames LEGACY_WS.DATA sans vérifier que data.id correspond à l’identifiant de l’opération concernée.

Impact, versions et correctif

Événement datéL’avis GitHub et la publication CVE sont datés du 2026-10-28 à 20:45:58 UTC, soit le 2026-10-28 à 22:45:58 +02:00, dans la période demandée. La fiche NVD a été publiée plus tard dans cette même période.

ImpactExposition possible de résultats d’abonnement autorisés à un autre appelant partageant l’exécuteur, avec interruption du flux de l’abonnement d’origine.

Versions affectées@graphql-tools/executor-legacy-ws versions antérieures à 1.1.36

Version corrigée@graphql-tools/executor-legacy-ws 1.1.36

ContournementÉviter de partager une même instance d’exécuteur entre abonnements de différents utilisateurs ou contextes d’autorisation.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.0 · CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N

Publication2026-10-28T22:45:58.056+02:00

Détection / vérification

Vérifier si des abonnements qui se chevauchent utilisent la même instance de buildWSLegacyExecutor et si l’exécuteur legacy WebSocket est réutilisé entre appelants.

Action recommandée

Mettre à niveau @graphql-tools/executor-legacy-ws vers la version 1.1.36 ou ultérieure. En attendant, isoler les exécuteurs et les abonnements par utilisateur ou contexte d’autorisation.

Sources

CVE-2026-118666 — NVD

Priorisation DFS : P4 · 1 source(s).