remorsos/genql antes da versão 6.3.4 permite que um atacante autenticado com controle do esquema GraphQL que é passado para genql para injetar JavaScript ou TypeScript arbitrários. O código malicioso é injetado no arquivo schema.ts gerado e executa- se quando o cliente genql é agrupado e importado. Registro de aconselhamento: GHSA-w 757 -xvvv-vgfw. Identificadores relacionados: CVE- 2026 - 63397.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 16 T 21: 30: 38.000 Z e lista a sua última modificação como 2026 - 08 - 13 T 18: 29: 07.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H; CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:P/PR:H/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/África do Sul:N.
Software afetado e informações de versão: pacote npm @genql/cli — ECOSISTEM: introduzido 0, corrigido 6.3.4. Classificação e evidência: identificadores de fraqueza CWE- 116. O registro contém 7 suporte de referências nestes tipos: AVISO, WEB, EMBALAGEM.