CVE-2026-35526

A exploração bem-sucedida desta vulnerabilidade permite que um atacante cause uma negação de serviço (DoS) no servidor Strawberry GraphQL. O atacante pode estabelecer uma única conexão WebSocket e enviar repetidamente mensagens de inscrição com IDs únicos. Cada mensagem resulta na criação de uma nova tarefa asyncio.Task e um objeto Operation, sem limite para o número de inscrições ativas por conexão. Isso pode levar ao esgotamento dos recursos do servidor, como memória e CPU, resultando em lentidão, falhas ou indisponibilidade completa do serviço GraphQL. A ausência de limitação no número de tarefas criadas amplifica o impacto, tornando o ataque particularmente eficaz.

Applications utilizing Strawberry GraphQL for building GraphQL APIs, particularly those exposed to untrusted networks or lacking robust authentication mechanisms, are at risk. Shared hosting environments where multiple applications share the same server resources are especially vulnerable, as a single attacker could impact all hosted applications.

• python / server:

import asyncio
import strawberry

# Check for Strawberry GraphQL version
import strawberry
print(strawberry.__version__)

# Monitor CPU and memory usage for unusual spikes during WebSocket connections
import psutil

while True:
    cpu_usage = psutil.cpu_percent(interval=1)
    memory_usage = psutil.virtual_memory().percent
    print(f'CPU Usage: {cpu_usage}%, Memory Usage: {memory_usage}%')
    asyncio.sleep(5)

1. 2026-04-07Disclosure

   disclosure

1. Reservado2026-04-03
2. Publicada2026-04-07
3. Modificada2026-04-08
4. EPSS atualizado2026-04-15

A mitigação primária para CVE-2026-35526 é atualizar a biblioteca Strawberry GraphQL para a versão 0.312.3 ou superior, que inclui a correção para esta vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de mitigação temporárias. Restringir o número de conexões WebSocket permitidas por endereço IP pode ajudar a limitar o impacto de um ataque DoS. Além disso, a configuração de um Web Application Firewall (WAF) para detectar e bloquear tráfego suspeito, como um grande número de solicitações de inscrição em um curto período de tempo, pode fornecer uma camada adicional de proteção. Monitore de perto o uso de recursos do servidor para identificar e responder a possíveis ataques DoS.