发布日期：2026-02-04
更新日期：2026-04-20

受影响系统：

Apollo GraphQL Apollo Server >=2.0.0 <= 3.13.0
Apollo GraphQL Apollo Server >= 5.0.0 < 5.4.0
Apollo GraphQL Apollo Server >= 4.2.0 < 4.13.0

描述：

---

CVE(CAN) ID: CVE-2026-23897

apollo server是Apollo GraphQL开源的一个JS代码包。
apollo server 2.0.0版本至3.13.0版本、4.2.0版本至4.13.0之前版本和5.0.0版本至5.4.0之前版本存在拒绝服务漏洞，该漏洞源于默认配置对特殊字符集编码请求处理不当，攻击者可利用该漏洞向使用startStandaloneServer默认配置的Apollo Server发送包含特殊字符集编码的特制请求体，触发服务器在解析请求时消耗过量CPU或内存资源，导致服务响应缓慢、无响应甚至崩溃。

<*链接：https://github.com/apollographql/apollo-server/security/advisories/GHSA-mp6q-xf9x-fwf7
*>

建议：

---

厂商补丁：

Apollo GraphQL
--------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
https://github.com/apollographql/apollo-server/commit/e9d49d163a86b8a33be56ed27c494b9acd5400a4

浏览次数：64
严重程度：0（网友投票）