python · strawberry-graphqlAtenção
strawberry-graphql: QueryDepthLimiter vulnerável a DoS por recursão infinita em fragmentos circulares
A extensão QueryDepthLimiter não possui detecção de ciclos em fragmentos.
O que mudou
A extensão QueryDepthLimiter não possui detecção de ciclos em fragmentos. A função determine_depth resolve FragmentSpreadNode recursivamente sem manter um conjunto de fragmentos visitados, permitindo recursão infinita com referências circulares.
Quem isso afeta
Usuários de strawberry-graphql que utilizam a extensão QueryDepthLimiter.
O que fazer hoje
Atualize para uma versão corrigida que inclua detecção de ciclos na função determine_depth, ou desabilite o QueryDepthLimiter até que um patch esteja disponível.
A esteira
Coletado→
Auditado→
Redigido→
Publicado