graphql-scalars 2.0.1 未満で正規表現の過負荷により高負荷状態になるおそれ
概要
graphql-scalars の PhoneNumber スカラーに、正規表現の処理が極端に長くなる脆弱性(CWE-1333)が見つかりました。バージョン 1.24.1 から 2.0.1 未満が対象で、認証前の小さなリクエストでもNode.js のイベントループが止まり、サーバーが応答しなくなるおそれがあります。 修正版は 2.0.1 です。速やかに 2.0.1 以降へ更新してください。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
graphql-scalars の PhoneNumber スカラーに、正規表現の処理が極端に長くなる脆弱性(CWE-1333)が見つかりました。バージョン 1.24.1 から 2.0.1 未満が対象で、認証前の小さなリクエストでもNode.js のイベントループが止まり、サーバーが応答しなくなるおそれがあります。 修正版は 2.0.1 です。速やかに 2.0.1 以降へ更新してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| graphql-hive | graphql-scalars | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
GraphQL Scalars is a library of custom GraphQL scalars for creating precise type-safe GraphQL schemas. From 1.24.1 until 2.0.1, GraphQLPhoneNumber in src/scalars/PhoneNumber.ts uses ambiguous nested digit quantifiers that backtrack exponentially when a PhoneNumber value contains a run of digits followed by a character that makes the match fail. GraphQL evaluates parseLiteral during document validation and parseValue during variable coercion before resolver authentication or authorization, so a small unauthenticated request can block the Node.js event loop and stall the server process. serialize is also affected when unvalidated stored values are returned through the scalar. This issue is fixed in version 2.0.1.
出典: CVE.org (CVE Program・cvelistV5) NVD