GraphQL Tools : validation des certificats TLS désactivée dans l’exécuteur WebSocket historique

Veille sécuritéBackend & données

P3Élevée

Dans l’exécuteur WebSocket historique de GraphQL Tools, la validation des certificats TLS était désactivée pour les connexions `wss://`, exposant les applications clientes à une interception réseau et à la falsification des données d’abonnement. Mettre à jour `@graphql-tools/executor-legacy-ws` vers 1.1.35 ou ultérieur ; l’avis indique aussi le correctif `@graphql-tools/url-loader` 9.1.9 ou ultérieur pour les utilisateurs de ce chargeur.

IdentifiantCVE-2026-103921

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif1.1.35

Source : GitHub Advisory Database — GHSA-6fw5-9hq8-w87g

Analyse technique

La configuration utilisait `rejectUnauthorized: false` pour les connexions WSS de Node.js ; les clients WebSocket des navigateurs ne sont pas concernés par cette option.

Impact, versions et correctif

Événement datéL’avis GitHub indique une publication le 2026-10-05 à 22:56:56Z, soit le 2026-10-06 à 00:56:56+02:00, dans la période demandée.

ImpactUn attaquant en position réseau pouvait intercepter des identifiants transmis et altérer les données d’abonnement.

Versions affectées@graphql-tools/executor-legacy-ws <= 1.1.34

Version corrigée1.1.35

ContournementL’avis recommande de privilégier le protocole `graphql-ws` moderne ou, jusqu’à la mise à jour, d’éviter d’envoyer des secrets sur les connexions concernées.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.4

EPSS0,27% · percentile 17,3%

Publication2026-10-06T00:56:56+02:00

Action recommandée

Mettre à jour `@graphql-tools/executor-legacy-ws` vers 1.1.35 ou ultérieur et, si applicable, `@graphql-tools/url-loader` vers 9.1.9 ou ultérieur.

Sources

GitHub Advisory Database — GHSA-6fw5-9hq8-w87g

Priorisation DFS : P3 · 1 source(s).