GraphQL Tools 連線引數持久化導致 WebSocket 認證被跨使用者冒充（CVE-2026-118665）
CVE-2026-118665 - GraphQL Tools: Per-request connection parameters persist into later users' WebSocket authentications
GraphQL Tools 在 1.1.36 之前的 WebSocket 執行器會將先前請求的連線引數保留，導致後續使用者可能被偽裝成先前使用者。
此漏洞揭示 GraphQL Tools 連線引數持久化問題，提示開發者須更新至 1.1.36 以避免跨使用者身份冒充；同時建議避免重用執行器以降低風險。若無法升級，請為每個請求建立獨立執行器，或檢查程式碼以確保連線引數不被遺留。
譯文尚未完整，完整內容請切換至原文。
GraphQL Tools 提供了構建、拼接及模擬 GraphQL 架構的工具。 在 GraphQL Tools legacy WebSocket 執行器套件 1.1.36 之前，buildWSLegacyExecutor (位於 packages/executors/legacy-ws/src/index.ts) 在 cleanupWebsocket 關閉連線後，仍會將 request.extensions.connectionParams 保留在 closure-scoped executorConnectionParams 物件中。 當同一個執行器在不同授權環境中重複使用時，若後續請求遺漏敏感金鑰，可能會在其 connection_init 負載中傳送先前呼叫者的 Authorization 或租戶值，導致下游伺服器將後續呼叫者驗證為先前使用者。 每次請求皆建立新執行器的應用程式不受影響。 此問題已於 GraphQL Tools legacy WebSocket 執行器套件 1.1.36 版修復。
影響
受影響產品
以下產品受到 CVE-2026-118665 漏洞影響。
即使 cvefeed.io 知道受影響產品的確切版本，資訊仍未在下表中呈現。
尚未錄入受影響產品
Common Vulnerability Scoring System（通用漏洞評分系統）是一個標準化框架，用於評估軟體與系統漏洞的嚴重性。我們從各來源蒐集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 4.0 | 高 | [email protected] |
將 GraphQL Tools 傳統 WebSocket 執行器更新至 1.1.36 或更高版本，以修復身份驗證問題。
- 更新 GraphQL Tools 傳統 WebSocket 執行器套件。
- 確保執行器不會在不同授權上下文中重複使用。
- 若無法更新，請為每個請求建立新的執行器。
在此，您將找到一份精選的外部連結清單，提供關於 CVE-2026-118665 的深入資訊、實用解決方案與寶貴工具。
雖然 CVE 用來識別特定的弱點例項，但 CWE 則將可能導致弱點的常見瑕疵或弱點進行分類。CVE-2026-118665 與以下 CWE 有關：
常見攻擊模式列舉與分類
(CAPEC)
儲存了攻擊模式，這些模式是攻擊者用來利用 CVE-2026-118665
弱點時所採用的常見屬性與手法的描述。
我們會掃描 GitHub 儲存庫以偵測新的概念驗證 (PoC) 攻擊。以下清單是已在 GitHub 上發布的公開攻擊與概念驗證集合（按最近更新時間排序）。
基於潛在效能問題，結果僅限於前 15 個儲存庫。
以下清單是在文章中任何地方提及 CVE-2026-118665 弱點的新聞。
下表列出了 CVE-2026-118665 弱點隨時間所做的變更。
弱點歷史記錄詳細資料有助於瞭解弱點的演變，並識別可能影響弱點嚴重性、可利用性或其他特性的最新變更。
-
收到新的 CVE 由 [email protected]
十月. 28, 2026
動作 型別 舊值 新值 已新增 說明 GraphQL Tools 提供了用於建構、合併與模擬 GraphQL 結構描述的公用程式。在 GraphQL Tools 傳統 WebSocket 執行器套件 1.1.36 版本之前，packages/executors/legacy-ws/src/index.ts 中的 buildWSLegacyExecutor 會在 cleanupWebsocket 關閉連線後，將 request.extensions.connectionParams 保留在 closure-scoped 的 executorConnectionParams 物件中。當多個授權情境重複使用同一個執行器時，後續省略敏感金鑰的請求可能會在其 connection_init 酬載中傳送早期呼叫者的 Authorization 或租戶值，導致下游伺服器將後續的呼叫者驗證為先前的使用者。為每個請求建立新執行器的應用程式不受影響。此問題已在 GraphQL Tools 傳統 WebSocket 執行器套件 1.1.36 版本中修復。 已新增 CVSS V4.0 AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X 已新增 CWE CWE-613 Added Affected New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/118xxx/CVE-2026-118665.json">CVE-2026-118665</a> Added Reference https://github.com/ardatan/graphql-tools/commit/c2f226e6f68236be9e4a577f29faeaa92547458b Added Reference https://github.com/ardatan/graphql-tools/pull/8480 Added Reference https://github.com/ardatan/graphql-tools/releases/tag/@graphql-tools/[email protected] Added Reference https://github.com/ardatan/graphql-tools/security/advisories/GHSA-434m-5hcj-pxf3
EPSS 是對未來 30 天內被觀測到利用活動的機率的每日估算。以下圖表顯示此漏洞的 EPSS 分數歷史。