CVE-2026-114604
GraphQL Tools: Prototype pollution in mergeIncrementalResult via non-primitive path segments
CVSS 3.1Medium
8.4/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите пакет @graphql-tools/utils до версии 12.0.2.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В пакете @graphql-tools/utils обнаружено загрязнение прототипа (prototype pollution) при обработке сегментов пути в функции mergeIncrementalResult.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В версиях от 10.10.1 до 12.0.2 сегменты incrementalResult.path передаются в setObjectKeyPath без проверки на примитивные типы данных. Непримитивный сегмент обходит строгие сравнения с __proto__, constructor и prototype и приводится к строке при обращении к свойствам, что срабатывает при слиянии недоверенных ответов директив @defer или @stream.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Запись контролируемых атакующим свойств в Object.prototype внутри процесса Node.js.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/ardatan/graphql-tools/security/advisories/GHSA-c4qx-w738-7hr3
- github.comhttps://github.com/ardatan/graphql-tools/pull/8467
- github.comhttps://github.com/ardatan/graphql-tools/commit/19f5b3373fd7ace0688d19950fc529ce8347952a
- github.comhttps://github.com/ardatan/graphql-tools/commit/20d36a5c6eb8fd5524420988e01a48618c450d70
- github.comhttps://github.com/ardatan/graphql-tools/releases/tag/@graphql-tools/utils@12.0.2
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-114604: GraphQL Tools: Prototype pollution in mergeIncrementalResult via non-primitive path segments. URL: https://cve.futuretools.ru/cve/CVE-2026-114604
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_114604,
title = {{CVE-2026-114604: GraphQL Tools: Prototype pollution in mergeIncrementalResult via non-primitive path segments}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-114604}},
note = {Оперативный инженерный анализ киберугроз}
}