JVNDB-2026-007736

apollographqlのApollo Serverにおける非効率的な正規表現の複雑さに関する脆弱性

Apollo Serverは、Apollo Clientを含むあらゆるGraphQLクライアントに対応したオープンソースの仕様準拠GraphQLサーバーです。バージョン2.0.0から3.13.0、4.2.0から4.13.0未満、および5.0.0から5.4.0未満において、@apollo/server/standaloneのstartStandaloneServerのデフォルト設定は、特殊な文字セットエンコーディングを使用した細工されたリクエストボディを通じてサービス拒否（DoS）攻撃に対して脆弱です。この問題は、@as-integrations/express5や@as-integrations/nextのような統合パッケージの依存として@apollo/serverを使用しているユーザーには影響せず、startStandaloneServerを直接使用している場合にのみ影響を与えます。

apollographql

• Apollo Server 2.0.0 から 3.13.0
• Apollo Server 4.2.0 以上 4.13.0 未満
• Apollo Server 5.0.0 以上 5.4.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Denial of service with `startStandaloneServer`  Advisory  apollographql/apollo-server  GitHub

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]

1. CVE-2026-23897

1. National Vulnerability Database (NVD) : CVE-2026-23897
2. 関連文書 : Merge commit from fork  apollographql/apollo-server@e9d49d1  GitHub
3. 関連文書 : Merge commit from fork  apollographql/apollo-server@d25a5bd  GitHub

• [2026年03月19日]
    掲載