GraphQL-core : déni de service par fuite mémoire lors de validations interrompues

Veille sécuritéBackend & données

P3Élevée

GraphQL-core peut subir un déni de service par épuisement mémoire lorsque des validations dépassant `max_errors` sont répétées. La version 3.3.1 corrige le problème en évitant de réutiliser l’exception avec sa trace; à défaut, l’avis décrit un contournement consistant à effacer sa trace après validation.

IdentifiantCVE-2026-119286

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif3.3.1

Source : GHSA-mpqx-q82w-9×46 — GraphQL-core has denial of service via memory leak in aborted validations

Analyse technique

Une validation comportant plus d’erreurs que la limite déclenche une exception partagée dont la trace conserve les cadres d’exécution et les objets associés. Des requêtes répétées peuvent faire croître indéfiniment la mémoire du processus.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-30T22:58:31Z, soit le 2026-10-31T00:58:31+02:00, dans la période demandée.

ImpactUn attaquant peut provoquer une consommation mémoire croissante et l’arrêt du processus par épuisement mémoire.

Versions affectées>= 3.3.0a3, < 3.3.1

Version corrigée3.3.1

ContournementEffacer le traceback de l’exception partagée après chaque validation, selon l’exemple de l’avis.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

EPSS0,42% · percentile 36,5%

Publication2026-10-31T00:58:31+02:00

Mise à jour2026-10-31T00:58:33+02:00

Action recommandée

Mettre à niveau graphql-core vers 3.3.1 ou une version ultérieure corrigée.

Sources

GHSA-mpqx-q82w-9×46 — GraphQL-core has denial of service via memory leak in aborted validations

Priorisation DFS : P3 · 1 source(s).