Le journal DFS
GraphQL
-
Traggo Server : déni de service via l’endpoint GraphQL
P3 · Élevée · CVE-2026-117184 — Une requête POST construite spécialement vers le point d’accès GraphQL de Traggo Server 0.8.3 pouvait provoquer un déni de service.…
-
Daptin : déni de service via l’en-tête Accept-Language
P3 · Élevée · CVE-2026-62160 — Avant Daptin 0.12.26, le middleware de langue transmettait l’en-tête Accept-Language sans filtrage suffisant à l’analyse des préférences linguistiques. Une entrée…
-
GraphQL Tools : résultats d’abonnements WebSocket transmis au mauvais appelant
P4 · Moyenne · CVE-2026-118666 — Lors d’abonnements simultanés partageant le même exécuteur, le gestionnaire WebSocket peut transmettre les résultats d’un abonnement au mauvais appelant. Cela…
-
GraphQL Tools : réutilisation de paramètres d’authentification WebSocket entre requêtes
P3 · Élevée · CVE-2026-118665 — La conservation de paramètres de connexion d’une requête dans l’état de l’exécuteur WebSocket peut rejouer des valeurs d’authentification antérieures lors…
-
Déni de service par ReDoS dans GraphQLPhoneNumber de graphql-scalars
P3 · Élevée · CVE-2026-115887 — La bibliothèque graphql-scalars est vulnérable à un déni de service par retour arrière exponentiel de l’expression régulière du scalaire GraphQLPhoneNumber.…
-
GitLab : contournement de restrictions de portée via un champ GraphQL
P4 · Moyenne · CVE-2026-12664 — Une application insuffisante des permissions à un champ GraphQL pouvait permettre à un utilisateur authentifié doté d’un jeton `read_api` de…
-
CVE-2026-114604 : modification possible de Object.prototype lors de la fusion de résultats GraphQL
P3 · Élevée · CVE-2026-114604 — Dans les versions de @graphql-tools/utils concernées, mergeIncrementalResult ne validait pas le type des segments du chemin d’un résultat GraphQL incrémental,…
-
GraphQL-core — épuisement mémoire par commentaires contournant max_tokens
P3 · Élevée · CVE-2026-75508 — GraphQL-core ne comptabilise pas les commentaires ignorés par l’analyse lexicale dans sa limite max_tokens, alors que leurs jetons restent alloués…
-
Consommation excessive de CPU lors de la validation GraphQL dans GraphQL-core
P3 · Élevée · CVE-2026-75507 — La règle OverlappingFieldsCanBeMerged de GraphQL-core peut répéter des comparaisons coûteuses de champs et de fragments imbriqués pendant la validation d’une…
-
Craftplan : création non autorisée de clients via GraphQL
P4 · Moyenne · CVE-2026-111349 — Craftplan jusqu’à la version 0.7.5 ne vérifie pas correctement l’autorisation de créer des clients dans la ressource CRM Customer. Un…