Le journal DFS
GraphQL
-
IBM DataPower Gateway : déni de service lors du traitement de variables GraphQL
P4 · Moyenne · CVE-2026-16182 — IBM DataPower Gateway peut subir un déni de service en raison d’un déréférencement de pointeur NULL pendant le traitement de…
-
Stump : contrôle d’accès insuffisant aux listes intelligentes via GraphQL
P4 · Moyenne · CVE-2026-107450 — Dans Stump jusqu’à la version 0.1.10, les mutations GraphQL `updateSmartList` et `deleteSmartList` ne vérifient pas que l’utilisateur est propriétaire de…
-
IBM DataPower Gateway : déni de service par traitement des fragments GraphQL
P3 · Élevée · CVE-2026-15822 — IBM DataPower Gateway présente un déni de service possible lié à une mémorisation incorrecte des propagations de fragments GraphQL. L’avis…
-
graphql-php : épuisement de pile par récursion GraphQL excessive
P3 · Élevée · CVE-2026-107376 — Dans graphql-php avant la version 15.32.3, l’analyse récursive de certaines structures GraphQL n’imposait pas de limite de récursion. Une requête…
-
GitHub Enterprise Server : contrôle d’autorisation insuffisant sur la branche par défaut via GraphQL
P4 · Moyenne · CVE-2026-103620 — Dans GitHub Enterprise Server, un collaborateur disposant d’un accès en écriture pouvait, via l’API GraphQL, supprimer la branche par défaut…
-
GraphQL Tools : déni de service par pollution de prototype lors de la fusion des résultats
P3 · Élevée · CVE-2026-104852 — Dans GraphQL Tools, `mergeDeep` pouvait suivre des propriétés héritées et fusionner des clés spéciales, ce qui permettait à une requête…
-
Twenty : divulgation de mots de passe de comptes connectés via GraphQL
P3 · Critique · CVE-2026-105763 — Une requête GraphQL `/metadata` de Twenty exposait les paramètres de connexion, y compris des mots de passe IMAP, SMTP ou…
-
Plane : accès non autorisé aux projets privés via la mutation GraphQL joinProject
P3 · Élevée · CVE-2026-105632 — Une faiblesse de contrôle d’accès dans la mutation GraphQL `joinProject` permet à un membre d’un espace de travail de rejoindre…
-
GraphQL Tools : validation des certificats TLS désactivée dans l’exécuteur WebSocket historique
P3 · Élevée · CVE-2026-103921 — Dans l’exécuteur WebSocket historique de GraphQL Tools, la validation des certificats TLS était désactivée pour les connexions `wss://`, exposant les…
-
CVE-2026-55094 — exécution de code à distance dans certains déploiements Taskcluster via GraphQL
P3 · Élevée · CVE-2026-55094 — Une vulnérabilité permet une exécution de code à distance sans authentification dans certaines déploiements Taskcluster exposant leur point de terminaison…