p PatchFirst

CVE-2026-47706

CVE-2026-47706 · Strawberry GraphQL has a Circular Fragment Reference DOS

This page contains facts from public vulnerability sources. Check the original advisory before updating.

This page shows selected source facts. See the linked advisories for the complete description and affected versions.

Strawberry GraphQL is a library for creating GraphQL APIs. In versions 0.71.0 through 0.315.6, the QueryDepthLimiter extension is vulnerable to an Application-level DOS due to a lack of cycle detection in fragment spreads. When a query contains circular fragment references the determine_depth function enters an infinite recursion, leading to a RecursionError and crashing the validation process. Version 0.315.7 patches the issue.

CVSS 5.3 · Medium · EPSS 0.3% · Fix available

Published
Updated

Stack: python

Affected products and versions

  • strawberry

    Versions
    • >= 0.71.0, < 0.315.7: Affected

    No fix published

  • strawberry-graphql PyPI

    Versions
    • 0.100.0
    • 0.101.0
    • 0.102.0
    • 0.102.1
    • 0.102.2
    • 0.102.3
    • 0.103.0
    • 0.103.0.dev1646681887
    • 0.103.0.dev1646854314
    • 0.103.0.dev1646854952
    • 0.103.0.dev1647013700
    • 0.103.0.dev1647019919
    • 0.103.0.dev1647276413
    • 0.103.1
    • 0.103.2
    • 0.103.3
    • 0.103.3.dev1647556194
    • 0.103.3.dev1647560143
    • 0.103.4
    • 0.103.5
    • 0.103.6
    • 0.103.7
    • 0.103.8
    • 0.103.9
    • 0.104.0
    • 0.104.1
    • 0.104.2
    • 0.104.3
    • 0.104.4
    • 0.105.0
    • 0.105.1
    • 0.106.0
    • 0.106.1
    • 0.106.2
    • 0.106.3
    • 0.107.0
    • 0.107.1
    • 0.108.0
    • 0.108.1
    • 0.108.2
    • 0.108.3
    • 0.109.0
    • 0.109.1
    • 0.110.0
    • 0.111.0
    • 0.111.0.dev1651525459
    • 0.111.0.dev1651528582
    • 0.111.1
    • 0.111.2
    • 0.112.0
    • 0.113.0
    • 0.114.0
    • 0.114.0.dev1653002317
    • 0.114.1
    • 0.114.2
    • 0.114.3
    • 0.114.4
    • 0.114.5
    • 0.114.6
    • 0.114.7
    • 0.115.0
    • 0.115.0.dev1655415925
    • 0.115.0.dev1655918067
    • 0.115.0.dev1656535533
    • 0.115.0.dev1656539795
    • 0.116.0
    • 0.116.1
    • 0.116.2
    • 0.116.2.dev1656871393
    • 0.116.2.dev1656872058
    • 0.116.3
    • 0.116.4
    • 0.116.5.dev1657033844
    • 0.117.0
    • 0.117.1
    • 0.118.0
    • 0.118.0.dev1657317770
    • 0.118.1
    • 0.118.1.dev1657789151
    • 0.118.2
    • 0.118.2.dev1657794397
    • 0.119.0
    • 0.119.0.dev1657804594
    • 0.119.1
    • 0.119.2
    • 0.120.0
    • 0.120.0.dev1658155979
    • 0.120.0.dev1658523480
    • 0.121.0
    • 0.121.1
    • 0.121.1.dev1658834895
    • 0.122.0
    • 0.122.1
    • 0.123.0
    • 0.123.1
    • 0.123.2
    • 0.123.3
    • 0.124.0
    • 0.124.0.dev1659352285
    • 0.124.0.dev1659364977
    • 0.124.0.dev1659369142
    • 0.124.0.dev1659369671
    • 0.124.0.dev1659525319
    • 0.124.0.dev1659561253
    • 0.124.0.dev1659609516
    • 0.124.0.dev1659610656
    • 0.124.0.dev1659628473
    • 0.124.0.dev1659635965
    • 0.124.0.dev1659642945
    • 0.124.0.dev1659690947
    • 0.125.0
    • 0.125.0.dev1660322955
    • 0.125.1
    • 0.125.1.dev1660660183
    • 0.126.0
    • 0.126.1
    • 0.126.2
    • 0.127.0
    • 0.127.0.dev1661177678
    • 0.127.0.dev1661202938
    • 0.127.0.dev1661205026
    • 0.127.0.dev1661205525
    • 0.127.0.dev1661797666
    • 0.127.1
    • 0.127.2
    • 0.127.2.dev1661863585
    • 0.127.3
    • 0.127.3.dev1661875109
    • 0.127.4
    • 0.128.0
    • 0.128.0.dev1662230411
    • 0.128.0.dev1662327339
    • 0.128.0.dev1662377719
    • 0.128.0.dev1662378822
    • 0.128.0.dev1662389441
    • 0.128.0.dev1662392213
    • 0.128.0.dev1662392858
    • 0.129.0
    • 0.129.0.dev1662643738
    • 0.130.0
    • 0.130.1
    • 0.130.2
    • 0.130.3
    • 0.130.4
    • 0.131.0
    • 0.131.1
    • 0.131.1.dev1663258832
    • 0.131.2
    • 0.131.2.dev1663861889
    • 0.131.3
    • 0.131.4
    • 0.131.5
    • 0.132.0
    • 0.132.0.dev1663408167
    • 0.132.1
    • 0.133.0
    • 0.133.1
    • 0.133.2
    • 0.133.3
    • 0.133.3.dev1664623208
    • 0.133.3.dev1664709044
    • 0.133.4
    • 0.133.5
    • 0.133.6
    • 0.133.6.dev1665517139
    • 0.133.7
    • 0.134.0
    • 0.134.0.dev1664917721
    • 0.134.0.dev1665768624
    • 0.134.1
    • 0.134.2
    • 0.134.3
    • 0.134.4
    • 0.134.5
    • 0.135.0
    • 0.136.0
    • 0.137.0
    • 0.137.1
    • 0.138.0
    • 0.138.1
    • 0.138.2
    • 0.138.2.dev1667430260
    • 0.139.0
    • 0.139.0.dev1667502964
    • 0.140.0
    • 0.140.1
    • 0.140.1.dev1667918300
    • 0.140.2
    • 0.140.3
    • 0.140.4.dev1668092284
    • 0.141.0
    • 0.141.0.dev1668092508
    • 0.141.0.dev1668163238
    • 0.142.0
    • 0.142.1
    • 0.142.2
    • 0.142.3
    • 0.143.0
    • 0.144.0
    • 0.144.0.dev1669937711
    • 0.144.1
    • 0.144.2
    • 0.144.3
    • 0.145.0
    • 0.145.0.dev1670166107
    • 0.145.0.dev1670170082
    • 0.145.0.dev1670175214
    • 0.146.0
    • 0.147.0
    • 0.148.0
    • 0.149.0
    • 0.149.1
    • 0.149.2
    • 0.150.0
    • 0.150.1
    • 0.151.0
    • 0.151.1
    • 0.151.2
    • 0.151.3
    • 0.152.0
    • 0.153.0
    • 0.154.0
    • 0.154.1
    • 0.155.0
    • 0.155.1
    • 0.155.2
    • 0.155.3
    • 0.155.4
    • 0.156.0
    • 0.156.0.dev1674920499
    • 0.156.0.dev1675101075
    • 0.156.0.dev1676725369
    • 0.156.0.dev1676729888
    • 0.156.0.dev1676734704
    • 0.156.1
    • 0.156.2
    • 0.156.3
    • 0.156.4
    • 0.157.0
    • 0.157.0.dev1675982393
    • 0.157.0.dev1676143402
    • 0.157.0.dev1676507628
    • 0.157.0.dev1676508359
    • 0.157.0.dev1676594678
    • 0.158.0
    • 0.158.1
    • 0.158.2
    • 0.159.0
    • 0.159.0.dev1678404470
    • 0.159.1
    • 0.160.0
    • 0.161.0
    • 0.161.1
    • 0.162.0
    • 0.163.0
    • 0.163.1
    • 0.163.2
    • 0.164.0
    • 0.164.1
    • 0.165.0
    • 0.165.1
    • 0.166.0
    • 0.167.0
    • 0.167.1
    • 0.168.0
    • 0.168.1
    • 0.168.2
    • 0.169.0
    • 0.170.0
    • 0.171.0
    • 0.171.1
    • 0.171.2
    • 0.171.3
    • 0.172.0
    • 0.173.0
    • 0.173.1
    • 0.174.0
    • 0.175.0
    • 0.175.1
    • 0.176.0
    • 0.176.1
    • 0.176.2
    • 0.176.3
    • 0.176.4
    • 0.177.0
    • 0.177.1
    • 0.177.2
    • 0.177.3
    • 0.178.0
    • 0.178.1
    • 0.178.2
    • 0.178.3
    • 0.179.0
    • 0.180.0
    • 0.180.1
    • 0.180.2
    • 0.180.3
    • 0.180.4
    • 0.180.5
    • 0.181.0
    • 0.182.0
    • 0.182.0.dev1686062831
    • 0.183.0
    • 0.183.1
    • 0.183.1.dev1686081894
    • 0.183.2
    • 0.183.3
    • 0.183.4
    • 0.183.5
    • 0.183.6
    • 0.183.7
    • 0.183.8
    • 0.184.0
    • 0.184.1
    • 0.185.0
    • 0.185.1
    • 0.185.2
    • 0.185.2.dev1686819062
    • 0.186.0
    • 0.186.1
    • 0.186.2

    Update to 0.315.7

Original sources

Check your server →