CVE-2026-22014 – GraphQL-Injection bei persistierten Abfragen über ID-Manipulation

Programmcode (Node.js)

// graphql_persisted.js - Accepts persisted query IDs
const express = require('express');
const { graphqlHTTP } = require('express-graphql');
const queries = {
  "abc": "query { user { name } }"
};
app.post('/graphql', graphqlHTTP({
  schema: schema,
  customExecuteFn: (args) => {
    const doc = parse(queries[args.queryId] || args.query);
    return execute(args);
  }
}));

CVE-2026-22014 – GraphQL-Injection bei persistierten Abfragen über ID-Manipulation

Übersicht

Ein GraphQL-Server unterstützt persistierte Abfragen, fällt jedoch auf den bereitgestellten Parameter query zurück, wenn die queryId unbekannt ist. Ein Angreifer kann eine nicht existierende queryId zusammen mit einer beliebigen GraphQL-Abfrage übermitteln und dadurch die vorgesehene Zulassungsliste persistierter Abfragen umgehen.

Details zur Schwachstelle

• Typ: Umgehung der Zugriffskontrolle
• Auswirkung: Ausführung beliebiger, potenziell kostenintensiver oder eingeschränkter Abfragen.
• Grundursache: Der Resolver vertraut der vom Client bereitgestellten query, wenn die queryId nicht gefunden wird, anstatt die Anfrage abzulehnen.

Demonstration des Exploits

Starten Sie den Server und senden Sie eine gemischte Payload:

python exploit_persisted_query.py

Der Server führt die schädliche Abfrage aus.