CVE-2026-35523

यह भेद्यता हमलावरों को Strawberry GraphQL सदस्यता एंडपॉइंट पर प्रमाणीकरण को पूरी तरह से दरकिनार करने की अनुमति देती है। हमलावर graphql-ws सबप्रोटोकॉल का उपयोग करके कनेक्ट कर सकते हैं और connection_init हैंडशेक को पूरा किए बिना सीधे start संदेश भेज सकते हैं। यह प्रमाणीकरण हुक को बायपास करता है, जिससे हमलावर बिना किसी प्राधिकरण के संवेदनशील डेटा तक पहुंच सकता है या अनधिकृत क्रियाएं कर सकता है। इस भेद्यता का उपयोग सदस्यता-आधारित GraphQL API को लक्षित करने वाले अनुप्रयोगों पर हमला करने के लिए किया जा सकता है, जिससे डेटा उल्लंघन या सेवा में व्यवधान हो सकता है।

Applications utilizing Strawberry GraphQL for building GraphQL APIs, particularly those relying on WebSocket subscriptions for real-time data updates, are at risk. Systems with legacy graphql-ws subprotocol enabled are especially vulnerable. Developers who have not recently updated their Strawberry GraphQL dependencies should prioritize patching.

• python / server:

import websocket

ws = websocket.WebSocket()
ws.connect('ws://your-graphql-endpoint')
ws.send('{"id":"1","type":"subscription","payload":{"query":"subscription MySubscription { ... }","variables":{}}}
')

# If the connection proceeds without handshake verification, the system is vulnerable.

1. 2026-04-07Disclosure

   disclosure

1. आरक्षित2026-04-03
2. प्रकाशित2026-04-07
3. संशोधित2026-04-09
4. EPSS अद्यतन2026-04-15

Strawberry GraphQL के संस्करण 0.312.3 में अपग्रेड करना इस भेद्यता को ठीक करने का प्राथमिक तरीका है। यदि अपग्रेड तत्काल संभव नहीं है, तो graphql-ws सबप्रोटोकॉल का उपयोग करने वाले कनेक्शन के लिए प्रमाणीकरण हुक को लागू करने पर विचार करें। यह सुनिश्चित करें कि सभी कनेक्शन connection_init हैंडशेक को सफलतापूर्वक पूरा करते हैं, इससे पहले कि सदस्यता संदेशों को संसाधित किया जाए। वेब एप्लिकेशन फ़ायरवॉल (WAF) नियमों को लागू करने से भी मदद मिल सकती है जो graphql-ws सबप्रोटोकॉल का उपयोग करके आने वाले अनुरोधों को फ़िल्टर करते हैं। Strawberry GraphQL के नवीनतम संस्करण में अपग्रेड करने के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, सदस्यता एंडपॉइंट पर प्रमाणीकरण को फिर से जांचें।