CVE-2026-118665: GraphQL Tools сохраняет параметры аутентификации WebSocket для последующих пользователей

@graphql-tools/executor-legacy-ws сохраняет значения extensions.connectionParams предыдущего запроса после закрытия сокета общего исполнителя. Если один и тот же исполнитель обслуживает разных пользователей или контексты авторизации, данные connection_init следующего WebSocket-запроса могут содержать значения Authorization или tenant предыдущего пользователя. Источник описывает подтверждённое проверкой доказательство концепции, но не подтверждает активную эксплуатацию.