GraphQL Tools: Offenlegung von Zugangsdaten im Legacy-WebSocket-Executor

Zusammenfassung

Ein geteilter Executor aus dem Legacy-WebSocket-Paket @graphql-tools/executor-legacy-ws behielt Verbindungsparameter aus einer früheren Anfrage. Eine spätere Anfrage, die einen sensiblen Schlüssel wie Authorization oder einen Mandantenwert weglässt, kann den Wert des früheren Aufrufers an den nachgelagerten Server senden. Dieser kann den späteren Aufrufer dann als früheren Benutzer authentifizieren (CWE-613). Anwendungen, die für jede Anfrage einen neuen Executor erstellen, sind nicht betroffen.

Betroffen

• @graphql-tools/executor-legacy-ws vor 1.1.36 (laut CNA-Angaben)
• ardatan graphql-tools vor 9.0.36 (laut CNA-Angaben; im Herstellerhinweis prüfen, da ältere graphql-tools-Linien möglicherweise keinen Fix erhalten)

Behoben in

• @graphql-tools/executor-legacy-ws 1.1.36 und neuer
• Der Hersteller hat den Fix in PR #8480 (Commit c2f226e) veröffentlicht; die graphql-tools-Linie, auf die aktualisiert werden muss, ist im Herstellerhinweis GHSA-434m-5hcj-pxf3 zu bestätigen

Umgehung

• Für jede Anfrage oder jeden Benutzer einen neuen Executor erstellen, sodass kein Executor zwischen Aufrufern geteilt wird
• Legacy-WebSocket-Subscriptions deaktivieren, falls sie nicht benötigt werden
• Weitere Workarounds sind vom Hersteller nicht dokumentiert.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
• CISA KEV: laut einer Drittquelle nicht gelistet; noch nicht im CISA-Katalog überprüft.
• Öffentlicher Proof of Concept: keiner gefunden.
• EPSS: 0.39 % (Perzentil 33).
• Der Angriff erfordert einen netzwerkseitig erreichbaren, authentifizierten Benutzer derselben Anwendung, dessen Anfrage einen geteilten Executor erreicht.

Unsere Empfehlung

• Alle Kopien von graphql-tools und @graphql-tools/executor-legacy-ws in Lockfiles finden, einschliesslich transitiver Abhängigkeiten.
• @graphql-tools/executor-legacy-ws auf 1.1.36 oder neuer aktualisieren und graphql-tools gemäss Herstellerhinweis auf eine gefixte Linie bringen.
• Kann eine Anwendung nicht aktualisiert werden, sicherstellen, dass sie pro Anfrage oder pro Benutzer einen neuen Executor erstellt.
• Prüfen, ob Legacy-WebSocket-Subscriptions verwendet werden, und diese bei Nichtgebrauch deaktivieren.
• NVD, den CISA-KEV-Katalog und den GitHub-Hinweis auf Änderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub commit c2f226e (fix for executor-legacy-ws) github.com
• GitHub pull request #8480 github.com
• GitHub release @graphql-tools/executor-legacy-ws@1.1.36 github.com
• GitHub security advisory GHSA-434m-5hcj-pxf3 github.com
• OSV entry GHSA-434m-5hcj-pxf3 osv.dev
• GitLab advisory for @graphql-tools/executor-legacy-ws advisories.gitlab.com
• VulDB entry CVE-2026-118665 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:43.