GitHub 安全公告库 (GHSA)·2026-10-23 00:27· 2 小时前精选AI 评分58

GraphQL-core 修复注释 token 绕过 max_tokens 限制导致的拒绝服务漏洞

GraphQL-core: Denial of service via comment tokens bypassing the parser's max_tokens limit

AI 导读

GraphQL-core 发布通告，指出解析器的 max_tokens 限制未统计注释 token，用注释填充的文档可绕过该限制并持续占用内存，38 MB 载荷在 max_tokens=5 下额外占用约 92 MB 常驻内存。

为什么值得看

通告说明了 max_tokens 未统计注释 token 的计数缺口，并给出升级后注释计入上限的行为变化。