GraphQL Tools: Prototype Pollution in der Funktion mergeDeep
Zusammenfassung
Die Funktion mergeDeep des Utils-Pakets von GraphQL Tools (@graphql-tools/utils) bis einschliesslich Version 12.0.0 blockiert beim Zusammenführen von Objekten keine Prototyp-Schlüssel wie __proto__, constructor oder prototype. Ein nicht authentifizierter Client kann präparierte GraphQL-Feldaliase senden, sodass sich Antworten von zwei Subgraphen beim Supergraph-Merging überschneiden und Function.prototype.call im Node.js-Prozess überschrieben werden kann. Nachfolgende Anfragen schlagen danach bis zum Neustart des Prozesses fehl, weshalb die Auswirkung vor allem eine Denial of Service ist.
Betroffen
- @graphql-tools/utils bis einschliesslich 12.0.0 (vor 12.0.1)
Behoben in
- @graphql-tools/utils ab 12.0.1
Umgehung
Unbekannt. Der Hersteller stellt keinen Workaround bereit; die Behebung erfolgt durch ein Update. Wenn direkte Updates blockiert sind, kann ein npm-overrides-Eintrag eine gepatchte Version in transitive Abhängigkeiten erzwingen.
Ausnutzung
- In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bestätigt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung partiell.
- Nicht im CISA-KEV-Katalog gelistet.
- EPSS unter 1 Prozent.
Unsere Empfehlung
- Führen Sie npm ls @graphql-tools/utils und npm audit in allen Projekten aus, einschliesslich transitiver Abhängigkeiten.
- Aktualisieren Sie auf 12.0.1 oder neuer; wenn eine Abhängigkeit einen älteren Bereich fixiert, verwenden Sie einen npm-overrides-Eintrag.
- Priorisieren Sie aus dem Internet erreichbare GraphQL-Gateways und föderierte Umgebungen.
- Starten Sie betroffene Prozesse nach dem Patchen neu und überwachen Sie fehlschlagende Anfragen.
- Prüfen Sie, ob die separate Advisory zu mergeIncrementalResult ebenfalls für Ihre Version gilt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-7mx3-vvmw-hjmv github.com
- Fix commit 0b9529f github.com
- Pull Request #8423 github.com
- Release @graphql-tools/utils 12.0.1 github.com
- GitLab Advisory Database entry advisories.gitlab.com
- OSV entry CVE-2026-104852 osv.dev
- Hive Gateway Pull Request #2600 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:02.
Referenzen der NVD (5)
- https://github.com/ardatan/graphql-tools/commit/0b9529f1988fd36186a7c106a6efe0356f1b7f2e
- https://github.com/ardatan/graphql-tools/pull/8423
- https://github.com/ardatan/graphql-tools/releases/tag/@graphql-tools/utils@12.0.1
- https://github.com/ardatan/graphql-tools/security/advisories/GHSA-7mx3-vvmw-hjmv
- https://github.com/graphql-hive/gateway/pull/2600
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.