graphql-core: Dienstverweigerung in der Validierung von OverlappingFieldsCanBeMerged
Zusammenfassung
graphql-core, eine Python-Portierung der Referenzimplementierung GraphQL.js, enthält eine Schwachstelle in der Validierungsregel OverlappingFieldsCanBeMerged. Speziell aufgebaute, stark komprimierbare GraphQL-Abfragen können die Validierung in quadratischen oder noch höheren CPU-Aufwand treiben, bevor eine Tiefen- oder Komplexitätskontrolle greift. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann mit einer kleinen Abfrage einen Worker-Prozess blockieren und einen Dienst mit mehreren Workern überlasten. Die Regel ist standardmässig aktiviert, daher sind GraphQL-Endpunkte auf betroffenen Versionen exponiert.
Betroffen
- graphql-core 3.0.0 bis vor 3.2.12
- graphql-core 3.3.0a1 bis vor 3.3.0rc1
Behoben in
- graphql-core 3.2.12
- graphql-core 3.3.0rc1
- Für die Linie 3.3 empfehlen die Recherchenotizen 3.3.1 oder neuer; diese Version wurde nicht direkt geprüft.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Die Begrenzung der Request-Grösse, eine Ratenbegrenzung des GraphQL-Endpunkts auf einem Reverse Proxy und das Neustarten hängender Worker reduzieren die Auswirkungen, beheben aber nicht den Validierungsaufwand.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Es wurde keine Ausnutzung in freier Wildbahn bekannt.
- Es wurde kein öffentlicher Proof of Concept gefunden; dies ist keine Garantie, dass keiner existiert.
Unsere Empfehlung
- Alle Python-Umgebungen mit graphql-core identifizieren, einschliesslich Lockfiles und Container-Images, da die Bibliothek oft als transitive Abhängigkeit vorkommt.
- Auf mindestens 3.2.12 aktualisieren, für die Linie 3.3 auf 3.3.1 oder neuer.
- Internetseitig erreichbare GraphQL-Endpunkte ohne Authentifizierung priorisieren.
- Distributionspakete auf korrigierte Versionen prüfen, da deren Status unbestätigt ist; nicht von einer Behebung ausgehen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-vj8h-fx38-h3vc github.com
- Fix commit 150e598 github.com
- Fix commit 29c2753 github.com
- graphql-core release v3.2.12 github.com
- graphql-core release v3.3.0rc1 github.com
- OSV CVE-2026-75507 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 12:45.
Referenzen der NVD (5)
- https://github.com/graphql-python/graphql-core/commit/150e59814d97d12140be005a558c93188ef89198
- https://github.com/graphql-python/graphql-core/commit/29c2753a7ee30a96a4109e7c6add1a2dae0497d7
- https://github.com/graphql-python/graphql-core/releases/tag/v3.2.12
- https://github.com/graphql-python/graphql-core/releases/tag/v3.3.0rc1
- https://github.com/graphql-python/graphql-core/security/advisories/GHSA-vj8h-fx38-h3vc
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.