p PatchFirst

CVE-2026-23897

CVE-2026-23897 · Apollo Server is vulnerable to denial of service with `startStandaloneServer`

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Apollo Server is an open-source, spec-compliant GraphQL server that's compatible with any GraphQL client, including Apollo Client. In versions from 2.0.0 to 3.13.0, 4.2.0 to before 4.13.0, and 5.0.0 to before 5.4.0, the default configuration of startStandaloneServer from @apollo/server/standalone is vulnerable to denial of service (DoS) attacks through specially crafted request bodies with exotic character set encodings. This issue does not affect users that use @apollo/server as a dependency for integration packages, like @as-integrations/express5 or @as-integrations/next, only direct usage of startStandaloneServer.

CVSS 7.5 · Alta · EPSS 0,7% · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • apollo-server

    Versiones
    • >= 2.0.0, <= 3.13.0: Afectada
    • >= 4.2.0, < 4.13.0: Afectada
    • >= 5.0.0, < 5.4.0: Afectada

    Sin corrección publicada

  • apollo-server npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 2.0.0, ≤ 3.13.0

    Sin corrección publicada

  • @apollo/server npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 4.2.0, < 4.13.0

    Actualiza a 4.13.0

  • @apollo/server npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 5.0.0, < 5.4.0

    Actualiza a 5.4.0

Fuentes originales

Comprueba tu servidor →