p PatchFirst

CVE-2026-23897

CVE-2026-23897 · Apollo Server is vulnerable to denial of service with `startStandaloneServer`

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Apollo Server is an open-source, spec-compliant GraphQL server that's compatible with any GraphQL client, including Apollo Client. In versions from 2.0.0 to 3.13.0, 4.2.0 to before 4.13.0, and 5.0.0 to before 5.4.0, the default configuration of startStandaloneServer from @apollo/server/standalone is vulnerable to denial of service (DoS) attacks through specially crafted request bodies with exotic character set encodings. This issue does not affect users that use @apollo/server as a dependency for integration packages, like @as-integrations/express5 or @as-integrations/next, only direct usage of startStandaloneServer.

CVSS 7.5 · Élevée · EPSS 0,7% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • apollo-server

    Versions du logiciel
    • >= 2.0.0, <= 3.13.0: Concernée
    • >= 4.2.0, < 4.13.0: Concernée
    • >= 5.0.0, < 5.4.0: Concernée

    Aucun correctif publié

  • apollo-server npm

    Plages de versions concernées
    • SEMVER: ≥ 2.0.0, ≤ 3.13.0

    Aucun correctif publié

  • @apollo/server npm

    Plages de versions concernées
    • SEMVER: ≥ 4.2.0, < 4.13.0

    Mettez à jour vers 4.13.0

  • @apollo/server npm

    Plages de versions concernées
    • SEMVER: ≥ 5.0.0, < 5.4.0

    Mettez à jour vers 5.4.0

Sources originales

Vérifiez votre serveur →