« Volver al listado

CVE-2026-107728

Estado: Pendiente de análisisAlta (7.5)—

Strawberry GraphQL es una biblioteca para crear API GraphQL. Desde la 0.217.0 hasta la 0.326.1, PermissionExtension.resolve() en un resolvedor de campo síncrono evalúa la veracidad del resultado de has_permission(). Cuando un permiso personalizado declara has_permission() como una función normal pero devuelve un awaitable, supports_sync no lo clasifica como asíncrono, el awaitable no se espera y su valor de objeto, intrínsecamente verdadero, permite que el resolvedor protegido se ejecute incluso cuando el resultado se resolvería como falso.

Leer descripción completaMostrar menos

Esto afecta a los resolvedores de campo síncronos tanto con execute_sync() como con execute(); los permisos declarados con async def has_permission() y los permisos síncronos que devuelven un booleano no están afectados. Este problema está corregido en la versión 0.326.1.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

CVE en GraphQL que permite eludir permisos de acceso (T1078) mediante fallo en validación de autorización remota (AV:N, PR:N, UI:N). Acceso a datos sin autorización (T1005) por permisos evaluados incorrectamente.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementApplication Developer GuidanceActive Directory ConfigurationVulnerability ScanningUser TrainingUser Account Management

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Strawberry — StrawberryAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-107728",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-107728",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-14T01:30:43.898409Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 7.5,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "strawberry-graphql",
          "product": "strawberry",
          "versions": [
            {
              "status": "affected",
              "version": ">= 0.217.0, < 0.326.1"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-08T23:16:58.180",
  "references": [
    {
      "url": "https://github.com/strawberry-graphql/strawberry/commit/2ebb79796c0e5ebb43cae1abd2b5a21363b1c00e",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/strawberry-graphql/strawberry/pull/4605",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/strawberry-graphql/strawberry/releases/tag/0.326.1",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/strawberry-graphql/strawberry/security/advisories/GHSA-pfvf-fwfp-25mp",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/strawberry-graphql/strawberry/security/advisories/GHSA-pfvf-fwfp-25mp",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-863"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Strawberry GraphQL is a library for creating GraphQL APIs. From 0.217.0 until 0.326.1, PermissionExtension.resolve() on a synchronous field resolver evaluates the result of has_permission() for truthiness. When a custom permission declares has_permission() as a normal function but returns an awaitable, supports_sync does not classify it as asynchronous, the awaitable is not awaited, and its inherently truthy object value permits the protected resolver to run even when the result would resolve to false. This affects synchronous field resolvers under both execute_sync() and execute(); permissions declared with async def has_permission() and synchronous permissions returning a boolean are not affected. This issue is fixed in version 0.326.1."
    }
  ],
  "lastModified": "2026-10-14T02:16:57.993",
  "sourceIdentifier": "security-advisories@github.com"
}