webonyx graphql-php: Stack-Überlauf durch tief verschachtelte GraphQL-Abfragen

Zusammenfassung

graphql-php ist eine PHP-Implementierung der GraphQL-Spezifikation. Der Parser arbeitet rekursiv absteigend ohne Tiefenbegrenzung, sodass tief verschachtelte Selection Sets, Objekt- oder Listenwerte bzw. Listentypen den PHP-Stack erschöpfen können, bevor die Validierung läuft. Ein nicht authentifizierter Angreifer, der einen GraphQL-Endpunkt erreichen kann, kann PHP-Prozesse mit einem Segmentation Fault zum Absturz bringen, was sich durch die Anwendungsfehlerbehandlung nicht abfangen lässt.

Betroffen

• webonyx/graphql-php Versionen vor 15.32.3 (Packagist-Advisory-Bereich: bis einschliesslich 15.32.2)
• Anwendungen und Frameworks, die von betroffenen Versionen abhängen, zum Beispiel Lighthouse, GraphQLBundle, WPGraphQL und Drupal GraphQL

Behoben in

• Auf webonyx/graphql-php 15.32.3 oder neuer aktualisieren
• Der Fix führt die Parser-Option recursionLimit ein (Standardwert 256)

Umgehung

• Unbekannt. Es wurde kein vom Hersteller dokumentierter Zwischenschutz gefunden.
• Mögliche anwendungsseitige Massnahme (nicht vom Hersteller getestet): Begrenzung der Request-Grösse am Reverse Proxy oder WAF.

Ausnutzung

• Im geprüften Quellenmaterial wurde kein öffentlicher Proof of Concept gefunden. Die CISA-SSVC-Bewertung führt die Ausnutzung als PoC und automatisierbar: ja.
• Keine bekannte aktive Ausnutzung gefunden; nicht im CISA KEV bestätigt.

Unsere Empfehlung

• PHP-Projekte und composer.lock-Dateien auf webonyx/graphql-php prüfen, inklusive indirekter Abhängigkeiten über CMS-Plugins und Frameworks.
• Auf 15.32.3 oder neuer aktualisieren und prüfen, ob das Framework keine ältere Version fixiert.
• Sicherstellen, dass die Option recursionLimit auf internet-erreichbaren Endpunkten nicht auf 0 gesetzt ist.
• Abstürze und Neustarts von PHP-FPM-Workern auf GraphQL-Endpunkten überwachen.
• Priorität: mittel bis hoch für internet-erreichbare GraphQL-Endpunkte, niedrig für rein interne oder deaktivierte GraphQL-Dienste.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-r7cg-qjjm-xhqq github.com
• Fix commit 6c1d6009 github.com
• Fix commit 7b7f2080 github.com
• Release v15.32.3 github.com
• OSV GHSA-r7cg-qjjm-xhqq osv.dev
• graphql-php security documentation webonyx.github.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:51.