« Volver al listado

CVE-2026-107376

Estado: Pendiente de análisisAlta (8.2)—

webonyx graphql-php es una implementación en PHP de la especificación GraphQL. En versiones anteriores a la 15.32.3, GraphQL\Language\Parser realiza un descenso recursivo sin límite de recursión en parseSelectionSet, parseValueLiteral y parseTypeReference. Un atacante remoto puede enviar conjuntos de selección, valores de objeto o lista o tipos de lista profundamente anidados que agotan la pila del proceso PHP durante el análisis previo a la validación, antes de que se ejecuten la validación de la consulta y los controles de complejidad.

Leer descripción completaMostrar menos

El SIGSEGV resultante puede terminar los workers de PHP-FPM o procesos de larga duración de Swoole, RoadRunner, ReactPHP o CLI y no puede capturarse mediante la gestión de excepciones a nivel de aplicación. Este problema está corregido en la versión 15.32.3.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Ataque remoto sin autenticación contra GraphQL expuesto (AV:N PR:N UI:N). Impacto: DoS por agotamiento de stack (SIGSEGV) que termina procesos PHP-FPM/Swoole; A:H confirma disponibilidad.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Filter Network TrafficVulnerability ScanningPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkApplication Isolation and Sandboxing

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Webonyx — Graphql-phpAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107376",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107376",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-08T18:39:30.355689Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 8.2,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H",
          "integrityImpact": "LOW",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 4.2,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "webonyx",
          "product": "graphql-php",
          "versions": [
            {
              "status": "affected",
              "version": "< 15.32.3"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-08T18:17:22.373",
  "references": [
    {
      "url": "https://github.com/webonyx/graphql-php/commit/6c1d6009a0f7557f66753bcfd07badd15acf77f4",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/webonyx/graphql-php/commit/7b7f2080ca5f7d5340a696fc5701b19a9222d2c2",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/webonyx/graphql-php/releases/tag/v15.32.3",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/webonyx/graphql-php/security/advisories/GHSA-r7cg-qjjm-xhqq",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/webonyx/graphql-php/security/advisories/GHSA-r7cg-qjjm-xhqq",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-674"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "webonyx graphql-php is a PHP implementation of the GraphQL specification. Prior to 15.32.3, GraphQL\\Language\\Parser performs recursive descent without a recursion limit in parseSelectionSet, parseValueLiteral, and parseTypeReference. A remote attacker can submit deeply nested selection sets, object or list values, or list types that exhaust the PHP process stack during pre-validation parsing, before query validation and complexity controls run. The resulting SIGSEGV can terminate PHP-FPM workers or long-running Swoole, RoadRunner, ReactPHP, or CLI processes and cannot be caught by application-level exception handling. This issue is fixed in version 15.32.3."
    }
  ],
  "lastModified": "2026-10-08T21:34:48.800",
  "sourceIdentifier": "security-advisories@github.com"
}