GraphQL Tools : réutilisation de paramètres d’authentification WebSocket entre requêtes

Veille sécuritéBackend & données

P3Élevée

La conservation de paramètres de connexion d’une requête dans l’état de l’exécuteur WebSocket peut rejouer des valeurs d’authentification antérieures lors d’une connexion ultérieure. Si un exécuteur est partagé entre des contextes d’autorisation, un utilisateur ultérieur peut être authentifié avec les paramètres d’un utilisateur précédent.

IdentifiantCVE-2026-118665

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif@graphql-tools/executor-legacy-ws 1.1.36

Source : CVE-2026-118665 — NVD

Analyse technique

buildWSLegacyExecutor conserve request.extensions.connectionParams dans une fermeture après la fermeture de la connexion WebSocket. Une requête ultérieure omettant une clé sensible peut ainsi réutiliser une valeur antérieure dans connection_init.

Impact, versions et correctif

Événement datéL’avis GitHub et la publication CVE sont datés du 2026-10-28 à 20:41:47 UTC, soit le 2026-10-28 à 22:41:47 +02:00, dans la période demandée. La fiche NVD a été publiée plus tard dans cette même période.

ImpactRisque d’utilisation des paramètres d’authentification d’un utilisateur antérieur pour une requête ultérieure, pouvant entraîner un accès aux données sous la mauvaise identité.

Versions affectées@graphql-tools/executor-legacy-ws versions antérieures à 1.1.36

Version corrigée@graphql-tools/executor-legacy-ws 1.1.36

ContournementCréer un exécuteur distinct pour chaque requête ou contexte d’autorisation.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.2 · CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Publication2026-10-28T22:41:47.228+02:00

Détection / vérification

Vérifier si l’application réutilise une instance de buildWSLegacyExecutor entre plusieurs contextes d’autorisation. Les applications créant un nouvel exécuteur pour chaque requête ne sont pas concernées.

Action recommandée

Mettre à niveau @graphql-tools/executor-legacy-ws vers la version 1.1.36 ou ultérieure. Si la mise à niveau n’est pas immédiate, ne pas partager un exécuteur entre utilisateurs ou contextes d’autorisation.

Sources

CVE-2026-118665 — NVD

Priorisation DFS : P3 · 1 source(s).