JVNDB-2026-016986

Absinthe-graphqlのAbsintheにおけるアルゴリズムの複雑さに関する脆弱性

absinthe-graphqlのabsintheにおける非効率なアルゴリズム複雑度の脆弱性により、認証なしで二次的なフラグメント名の一意性検証を通じてサービス拒否が可能です。'Elixir.Absinthe.Phase.Document.Validation.UniqueFragmentNames':run/2はすべてのフラグメントを走査し、各フラグメントに対してduplicate?/2を呼び出します。この関数はEnum.count(fragments, &(&1.name == name))を評価してフラグメントリストを線形走査します。その結果、文書あたりO(N^2)の比較が発生します。ここでNは呼び出し元が提供したフラグメント定義の数を表します。input.fragmentsはGraphQLクエリ本文から直接構築されるため、Nは攻撃者が完全に制御可能です。最小サイズのフラグメント定義は約16バイトであり、約1MBの文書には約60,000のフラグメントが含まれています。この単一の検証フェーズで約36億回の比較が強制されます。認証、スキーマ知識、または特別な設定は不要です。この問題はabsintheの1.2.0から1.10.2未満のバージョンに影響します。

Absinthe-graphql

• Absinthe 1.2.0 より大きい 1.10.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : Quadratic fragment-name uniqueness check causes denial of service in absinthe | Erlang Ecosystem Foundation CNA

GitHub

• GitHub : Quadratic fragment-name uniqueness check  Advisory  absinthe-graphql/absinthe  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-43967 - OSV

1. アルゴリズムの複雑性(CWE-407) [その他]

1. CVE-2026-43967

1. National Vulnerability Database (NVD) : CVE-2026-43967
2. 関連文書 : Merge commit from fork  absinthe-graphql/absinthe@223600c  GitHub

• [2026年05月28日]
    掲載