Persistencia Errónea de Parámetros de Conexión en el Ejecutor WebSocket Legado de GraphQL Tools (CVE-2026-118665)

Se ha identificado una vulnerabilidad de persistencia de sesión y manejo incorrecto de información sensible (clasificada bajo el error de control de sesión CWE-613) en el paquete ejecutor de WebSocket legado de GraphQL Tools (@graphql-tools/executor-legacy-ws). Específicamente, la función buildWSLegacyExecutor retiene los parámetros de conexión (request.extensions.connectionParams) dentro del objeto de ámbito del cierre (closure-scoped) del ejecutor una vez que se cierra la conexión mediante cleanupWebsocket.

Vector de Ataque: remoto vía red; ocurre cuando un mismo ejecutor se reutiliza a través de diferentes contextos de autenticación. Si una solicitud posterior omite una clave sensible, el sistema puede reutilizar por error la cabecera de autorización o el valor de inquilino (Authorization o tenant) de un llamador anterior.

Impacto: confidencialidad alta (sin afectar integridad ni disponibilidad directamente en el componente base). Conduce a la suplantación inadvertida de identidad (cross-context authentication bypass), provocando que el servidor autentique al usuario posterior bajo las credenciales del usuario anterior.

Parches y Actualizaciones: actualizar el paquete @graphql-tools/executor-legacy-ws a la versión 1.1.36 (o actualizar el conjunto general de herramientas de GraphQL a la versión 9.0.36 o superior).

Mitigaciones Temporales: modificar la arquitectura de la aplicación para asegurar que no se reutilice el mismo ejecutor WebSocket entre diferentes contextos de usuario o llamadas con distintas credenciales de autenticación.

Buenas Prácticas: auditar el comportamiento de los clientes y pasarelas WebSocket para verificar que los tokens de sesión y parámetros de inicialización se limpien y aúslen correctamente tras finalizar cada canal de comunicación.

https://nvd.nist.gov/vuln/detail/cve-2026-118665