CVE-2026-22014 – حقن الاستعلامات المحفوظة في GraphQL عبر التلاعب بالمعرّف

كود البرنامج (Node.js)

// graphql_persisted.js - Accepts persisted query IDs
const express = require('express');
const { graphqlHTTP } = require('express-graphql');
const queries = {
  "abc": "query { user { name } }"
};
app.post('/graphql', graphqlHTTP({
  schema: schema,
  customExecuteFn: (args) => {
    const doc = parse(queries[args.queryId] || args.query);
    return execute(args);
  }
}));

CVE-2026-22014 – حقن الاستعلامات المحفوظة في GraphQL عبر التلاعب بالمعرّف

نظرة عامة

يدعم خادم GraphQL الاستعلامات المحفوظة لكنه يتراجع إلى معامل query المُقدَّم إذا كان queryId غير معروف. يمكن للمهاجم إرسال queryId غير موجود إلى جانب استعلام GraphQL عشوائي، متجاوزًا القائمة البيضاء المقصودة للاستعلامات المحفوظة.

تفاصيل الثغرة

• النوع: تجاوز التحكم في الوصول
• التأثير: تنفيذ استعلامات عشوائية قد تكون مكلفة أو مقيدة.
• السبب الجذري: يعتمد الحلّال على query المقدَّم من العميل عندما لا يتم العثور على queryId، بدلاً من رفض الطلب.

إثبات الاستغلال

شغّل الخادم وأرسل حمولة مختلطة:

python exploit_persisted_query.py

يقوم الخادم بتنفيذ الاستعلام الخبيث.