Chocolate quente é um servidor de código aberto GraphQL. Antes das versões 12.22.7, 13.9.16, 14.3.1, e 15.1.14, o analisador de descida recursiva de Chocolate quente `Utf 8 GraphQLParser` não tem limite de profundidade de recursão. Um documento GraphQL criado com conjuntos de seleção profundamente aninhados, valores de objetos, valores de lista ou tipos de listas pode desencadear um `StackOverflowException` em cargas úteis tão pequenos quanto 40 KB. Porque `StackOverflowException` é incaptável no.NET (desde o.NET) 2.0 ), todo o processo do trabalhador é encerrado imediatamente. Todos os pedidos HTTP em voo, tarefas de fundo `IHostedService` e subscrição WebSocket aberta nesse trabalhador são eliminados. O orquestrador (Kubernetes, IIS, etc.) deve reiniciar o processo. Isto ocorre antes de qualquer regras de validação executar - `MaxExecutionDepth`, analisadores de complexidade, listas-de- persistência de permissões de consulta, e implementações personalizadas de `IDocumentValidatorRule` não podem interceptar o crash porque `Utf 8 GraphQLParser.Parse` é invocado antes da validação. O `MaxPermitedFields= 2048 ` limite não ajuda porque as cargas úteis que se bloqueiam contêm poucos campos. A correção nas versões 12.22.7, 13.9.16, 14.3.1, e 15.1.14 adiciona uma opção `MaxPermitedRecursionDepth` para `ParserOptions` com um padrão seguro, e a aplica em todos os métodos de análise recursiva (`ParseSelectionSet`, `ParseValueLiteral`, `ParseObject`, `ParseList`, `ParseTypeReference`, etc.). Quando o limite é ultrapassado, um 'SyntaxException' capturable é jogado em vez de sobrecarregar a pilha. Não há solução de nível de aplicativo. `StackOverflowException` não pode ser pego no.NET. A única mitigação é atualizar para uma versão corrigida. Os operadores podem reduzir (mas não eliminar) o risco limitando o tamanho do corpo da solicitação HTTP na camada de proxy reversa ou balanceador de carga, embora a menor carga útil de choque ( 40 KB) está bem abaixo da maioria dos limites de tamanho corporal padrão e é altamente compressível (~poucos cem bytes via gzip).
O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 40324 foi publicado em 2026 - 04 - 18 T 00: 16: 36.920 Z e última modificação em 2026 - 06 - 17 T 10: 45: 07.063 Z. O estado registrado é Diferido.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 9.1, gravidade CRÍTICA, vetor CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H, pontuação de exploração 3.9, pontuação de impacto 5.2; CVSS.
Classificações de fraqueza associadas: CWE- 674.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.