CVE-2026-104852
Beschrijving NL
GraphQL Tools biedt hulpprogramma's voor het bouwen, stikken en bespotten van GraphQL-schema's. Voorafgaand aan 12.0.1 volgt de mergeDeep-functie van het GraphQL Tools-pakket geërfde eigenschappen tijdens het recursief samenvoegen van bronobjecten en sluit __proto__, constructor- of prototype-sleutels niet uit. Een niet-geverifieerde GraphQL-client kan aliasvelden op die namen zetten, zodat reacties van twee subgrafen botsen tijdens het samenvoegen van gewone supergrafiekresultaten, waardoor mergeDeep object- en functieprototypes doorkruist en Function.prototype.call overschrijft met een door een subgrafiek geleverde waarde. Dit breekt latere verzoeken in het proces totdat deze opnieuw worden gestart. Dit probleem is opgelost in versie 12.0.1.
Origineel (Engels) tonen
GraphQL Tools provides utilities for building, stitching, and mocking GraphQL schemas. Prior to 12.0.1, the GraphQL Tools utils package's mergeDeep function follows inherited properties while recursively merging source objects and does not exclude __proto__, constructor, or prototype keys. An unauthenticated GraphQL client can alias fields to those names so responses from two subgraphs collide during ordinary supergraph result merging, causing mergeDeep to traverse Object and Function prototypes and overwrite Function.prototype.call with a subgraph-supplied value. This breaks subsequent requests in the process until restart. This issue is fixed in version 12.0.1.