CVE-2026-107728— Strawberry GraphQL 同步权限检查绕过漏洞
一分钟漏洞结论
影响对象
strawberry-graphql strawberry
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Strawberry GraphQL 是一个用于构建 GraphQL API 的库。在版本 0.217.0 至 0.326.1 之间， 方法在处理同步字段解析器（synchronous field resolver）时，会通过真值判断（truthiness）来评估 方法的返回值。 当自定义权限将 定义为普通函数（非异步函数），但其返回值是一个可等待对象（awaitable，例如协程）时，由于 机制无法将其识别为异步操作，该可等待对象不会被正确 await（等待执行）。因此，该对象本身具有内在的真值（inherent
可能的 ATT&CK 技术 1 AI
T1190 · Exploit Public-Facing Application
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-107728 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Strawberry GraphQL: Synchronous permission checks can treat an awaitable authorization result as truthy
来源: CVE Program / CVE List V5
Vulnerability Description
Strawberry GraphQL is a library for creating GraphQL APIs. From 0.217.0 until 0.326.1, PermissionExtension.resolve() on a synchronous field resolver evaluates the result of has_permission() for truthiness. When a custom permission declares has_permission() as a normal function but returns an awaitable, supports_sync does not classify it as asynchronous, the awaitable is not awaited, and its inherently truthy object value permits the protected resolver to run even when the result would resolve to false. This affects synchronous field resolvers under both execute_sync() and execute(); permissions declared with async def has_permission() and synchronous permissions returning a boolean are not affected. This issue is fixed in version 0.326.1.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制不正确
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| strawberry-graphql | strawberry | >= 0.217.0, < 0.326.1 | - |
|
二、漏洞 CVE-2026-107728 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-107728 的情报信息
请登录查看更多情报信息。
CVE-2026-107728 补丁与修复 (1)
CVE-2026-107728 厂商安全公告 (1)
CVE-2026-107728 厂商页面 (1)
-
🔗 Release 0.326.1 · strawberry-graphql/strawberry · GitHub x_refsource_MISC
IV. Related Vulnerabilities
V. Comments for CVE-2026-107728
暂无评论