GraphQL Toolsのレガシー WebSocketエグゼキューターに認証情報が残り別ユーザーとして認証される脆弱性
Summary
GraphQL Toolsのレガシー WebSocketエグゼキューター（@graphql-tools/executor-legacy-ws）の1.1.36より前には、リクエストごとの接続パラメーターが後続のユーザーの接続に残る脆弱性があります。同じエグゼキューターを異なる認可のコンテキストで使い回すと、後から来た利用者が前の利用者として認証される場合があります。修正版は1.1.36です。エグゼキューターをリクエストごとに作り直しているアプリケーションは影響を受けないとされています。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
GraphQL Toolsのレガシー WebSocketエグゼキューター（@graphql-tools/executor-legacy-ws）の1.1.36より前には、リクエストごとの接続パラメーターが後続のユーザーの接続に残る脆弱性があります。同じエグゼキューターを異なる認可のコンテキストで使い回すと、後から来た利用者が前の利用者として認証される場合があります。修正版は1.1.36です。エグゼキューターをリクエストごとに作り直しているアプリケーションは影響を受けないとされています。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| ardatan | graphql-tools | — | — |
| @graphql-tools | executor-legacy-ws | — | — |
| npm | @graphql-tools/executor-legacy-ws |
< 1.1.36 |
1.1.36 |
Original description The description as published by the source.
GraphQL Tools provides utilities for building, stitching, and mocking GraphQL schemas. Prior to version 1.1.36 of the GraphQL Tools legacy WebSocket executor package, buildWSLegacyExecutor in packages/executors/legacy-ws/src/index.ts retains request.extensions.connectionParams in the closure-scoped executorConnectionParams object after cleanupWebsocket closes a connection. When one executor is reused across different authorization contexts, a later request that omits a sensitive key can send an earlier caller's Authorization or tenant value in its connection_init payload, causing the downstream server to authenticate the later caller as the earlier user. Applications that create a new executor for every request are not affected. This issue is fixed in version 1.1.36 of the GraphQL Tools legacy WebSocket executor package.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- package github.com
- patch github.com
- patch github.com
- web github.com
- web github.com