ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يوفر GraphQL Tools أدوات لبناء ودمج ومحاكاة مخططات GraphQL. قبل الإصدار 1.1.36 من حزمة منفذ WebSocket القديمة لـ GraphQL Tools، تقوم الدالة buildWSLegacyExecutor في packages/executors/legacy-ws/src/index.ts بالاحتفاظ بـ request.extensions.connectionParams في كائن executorConnectionParams ذو نطاق الإغلاق (closure-scoped) بعد أن تقوم cleanupWebsocket بإغلاق الاتصال. عندما يتم إعادة استخدام منفذ واحد عبر سياقات مصادقة مختلفة، يمكن لطلب لاحق يتجاهل مفتاحاً حساساً إرسال قيمة Authorization أو tenant الخاصة بمرسل سابق في حمولة connection_init الخاصة به، مما يسبب خادم المجرى اللاحق في مصادقة المرسل اللاحق كالمستخدم السابق. التطبيقات التي تنشئ منفذاً جديداً لكل طلب لا تأثر. تم إصلاح هذه المشكلة في الإصدار 1.1.36 من حزمة منفذ WebSocket القديمة لـ GraphQL Tools.
المعالجة
المراجع
- مرجعhttps://github.com/ardatan/graphql-tools/commit/c2f226e6f68236be9e4a577f29faeaa92547458b
- مرجعhttps://github.com/ardatan/graphql-tools/pull/8480
- مرجعhttps://github.com/ardatan/graphql-tools/releases/tag/@graphql-tools/[email protected]
- مرجعhttps://github.com/ardatan/graphql-tools/security/advisories/GHSA-434m-5hcj-pxf3