🇰🇷 한글 설명
GraphQL-core의 특정 버전에서 OverlappingFieldsCanBeMerged 규칙이 중첩된 인라인 프래그먼트를 재귀적으로 비교할 때 발생하는 취약점입니다. 이로 인해 검증 단계에서 과도한 CPU 연산이 발생하여 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
악의적인 사용자가 복잡하게 설계된 질문을 보내 서버의 계산 능력을 순식간에 고갈시킬 수 있습니다. 이로 인해 서버가 응답하지 못하거나 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
GraphQL-core is a Python port of the GraphQL.js reference implementation. From 3.0.0 until 3.2.12 and 3.3.0rc1, the OverlappingFieldsCanBeMerged rule in specified_rules repeatedly compares fields that share response names and recursively re-compares flattened inline fragments during the validation phase. The prior named-fragment memoization does not cover this path, so nested repeated inline fragments can drive quadratic and worst-case O(n²·m²) CPU work before any resolver or AST-based depth or complexity control runs. An unauthenticated remote attacker can submit a shallow, highly compressible GraphQL query that pins a worker process and can saturate a multi-worker service. This issue is fixed in versions 3.2.12 and 3.3.0rc1.
📍 영향받는 시스템
GraphQL-core 3.0.0 ~ 3.2.11 및 3.3.0rc1 미만 버전
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 정교하게 조작된 GraphQL 쿼리를 전송하여 CPU 자원을 고갈시킴
🛡️ 대응 방법
GraphQL-core를 3.2.12 또는 3.3.0rc1 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.2.12 또는 3.3.0rc1보다 낮은지 확인하십시오.
pip show graphql-core | grep Version