CVE-2026-75507 Denegación de servicio en GraphQL-core por complejidad cuadrática en OverlappingFieldsCanBeMerged

Qué es CVE-2026-75507

Desde 3.0.0 hasta 3.2.12 y 3.3.0rc1, la regla OverlappingFieldsCanBeMerged en specified_rules compara repetidamente campos que comparten nombres de respuesta y vuelve a comparar recursivamente fragmentos inline aplanados durante la fase de validación. La memoización previa de fragmentos con nombre no cubre esta ruta, por lo que fragmentos inline anidados y repetidos pueden generar trabajo de CPU cuadrático y en el peor caso O(n²·m²) antes de que se ejecute cualquier resolver o control de profundidad o complejidad…

Productos y versiones afectadas

• graphql-python graphql-core

  • >= 3.0.0, < 3.2.12
  • >= 3.3.0a1, < 3.3.0rc1

Qué hacer

1. Verificá si usás graphql-core y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

GraphQL-core is a Python port of the GraphQL.js reference implementation. From 3.0.0 until 3.2.12 and 3.3.0rc1, the OverlappingFieldsCanBeMerged rule in specified_rules repeatedly compares fields that share response names and recursively re-compares flattened inline fragments during the validation phase. The prior named-fragment memoization does not cover this path, so nested repeated inline fragments can drive quadratic and worst-case O(n²·m²) CPU work before any resolver or AST-based depth or complexity control runs. An unauthenticated remote attacker can submit a shallow, highly compressible GraphQL query that pins a worker process and can saturate a multi-worker service. This issue is fixed in versions 3.2.12 and 3.3.0rc1.

Referencias

• github.com/graphql-python/graphql-core/security/advisories/GHSA-vj8h-fx38-h3vcX_REFSOURCE_CONFIRM
• github.com/graphql-python/graphql-core/commit/150e59814d97d12140be005a558c93188ef89198X_REFSOURCE_MISC
• github.com/graphql-python/graphql-core/commit/29c2753a7ee30a96a4109e7c6add1a2dae0497d7X_REFSOURCE_MISC
• github.com/graphql-python/graphql-core/releases/tag/v3.2.12X_REFSOURCE_MISC
• github.com/graphql-python/graphql-core/releases/tag/v3.3.0rc1X_REFSOURCE_MISC

Historial de la alerta

1. 22 OCT · 15:02VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.