CVE-2026-76763— SmallRye GraphQL 未授权拒绝服务漏洞
一分钟漏洞结论
影响对象
Red Hat Red Hat build of Quarkus
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
SmallRye GraphQL 中发现了一个缺陷。BigInteger 的标量类型强制转换未能正确验证浮点数或字符串输入的数值大小。未经身份验证的远程攻击者可以通过发送包含大指数浮点数字面量的 GraphQL 查询来利用此缺陷，从而导致分配极大容量的 BigInteger 对象，造成 CPU 资源耗尽或触发 OutOfMemoryError（内存溢出错误），最终导致服务不可用（拒绝服务）。
可能的 ATT&CK 技术 1 AI
T1499.001 · OS Exhaustion Flood影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| Red Hat | Red Hat build of Quarkus | 全部 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-76763 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Io.smallrye/smallrye-graphql: smallrye graphql: unauthenticated denial of service via large exponent float literals
来源: CVE Program / CVE List V5
Vulnerability Description
A flaw was found in SmallRye GraphQL. The number scalar coercion for BigInteger does not properly validate the magnitude of float or string inputs. An unauthenticated remote attacker can exploit this by sending a GraphQL query containing a large exponent float literal. This can lead to the allocation of extremely large BigInteger objects, causing CPU exhaustion or an OutOfMemoryError, resulting in a denial of service.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
CWE-1284
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Red Hat | Red Hat build of Quarkus | - |
cpe:/a:redhat:quarkus:3
|
|
二、漏洞 CVE-2026-76763 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-76763 的情报信息
请登录查看更多情报信息。
CVE-2026-76763 厂商安全公告 (1)
CVE-2026-76763 其他参考 (1)
同批安全公告 · Red Hat · 2026-08-31 · 共 6 条
| CVE-2026-83596 | 8.8 HIGH | WebKitGTK 字体特性验证缺陷 |
| CVE-2026-12894 | 8.8 HIGH | Quarkus Qute 模板引擎 服务器端模板注入漏洞 |
| CVE-2026-13732 | 7.8 HIGH | GDB stabs解析器越界写漏洞 |
| CVE-2026-17615 | 7.5 HIGH | Resteasy-core 源提供者远程文件读取漏洞 |
| CVE-2026-81624 | 7.5 HIGH | Undertow Websocket容器默认缓冲区及超时为无穷 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-76763
暂无评论