nicholasaleks/graphql-threat-matrixGraphQL-Bedrohungsframework, das von Sicherheitsexperten verwendet wird, um Sicherheitslücken in GraphQL-Implementierungen zu untersuchen.
graphql-threat-matrix wurde für Bug-Bounty-Jäger, Sicherheitsforscher und Hacker entwickelt, um Schwachstellen in verschiedenen GraphQL-Implementierungen aufzudecken.
Die Unterschiede in der Interpretation und Einhaltung der GraphQL-Spezifikation durch die verschiedenen GraphQL-Implementierungen können zu Sicherheitslücken und einzigartigen Angriffsvektoren führen. Durch die Analyse und den Vergleich der Faktoren, die die Sicherheitsrisiken der verschiedenen Implementierungen bestimmen, kann das GraphQL-Ökosystem sicherere Bereitstellungsentscheidungen treffen und gemeinsam die Sicherheitsreife aller Implementierungen verbessern.
Legende
✅ - Standardmäßig aktiviert
⚠️ - Standardmäßig deaktiviert
❌ - Nicht unterstützt
| Implementierung | Validierungen | Feldvorschläge | Abfragetiefenbegrenzung | Abfragekostenanalyse | Automatisch gespeicherte Abfragen | Introspection | Debug-Modus | Batch-Anfragen |
|---|---|---|---|---|---|---|---|---|
| wp-graphql | 38 | ✅ | ⚠️ | ❌ | ❌ | ⚠️ | ⚠️ | ✅ |
| graphql-php | 37 | ✅ | ⚠️ | ⚠️ | ❌ | ✅ | ⚠️ | ⚠️ |
| graphql-api-for-wp | 37 | ⚠️ | ❌ | ❌ | ✅ | ✅ | ⚠️ | ✅ |
| Apollo | 34 | ✅ | ⚠️ | ⚠️ | ✅ | ✅ | ✅ | ✅ |
| graphql-yoga | 34 | ✅ | ⚠️ | ❌ | ❌ | ⚠️ | ⚠️ | ⚠️ |
| graphene | 34 | ✅ | ❌ | ❌ | ❌ | ✅ | ❌ | ⚠️ |
| Ariadne | 34 | ✅ | ⚠️ | ⚠️ | ❌ | ✅ | ⚠️ | ❌ |
| Strawberry | 34 | ✅ | ⚠️ | ❌ | ❌ | ✅ | ❌ | ❌ |
| graphql-dotnet | 29 | ✅ | ⚠️ | ⚠️ | ❌ | ✅ | ❌ | ⚠️ |
| graphql-ruby | 28 | ✅ | ❌ | ⚠️ | ⚠️ | ✅ | ❌ | ✅ |
| Sangria | 27 | ✅ | ⚠️ | ⚠️ | ❌ | ✅ | ❌ | ⚠️ |
| Tartiflette | 26 | ❌ | ❌ | ❌ | ❌ | ✅ | ❌ | ❌ |
| graphql-java | 26 | ✅ | ⚠️ | ⚠️ | ❌ | ✅ | ❌ | ⚠️ |
| gqlgen | 25 | ✅ | ❌ | ⚠️ | ⚠️ | ✅ | ⚠️ | ⚠️ |
| Dgraph | 25 | ✅ | ❌ | ❌ | ⚠️ | ✅ | ❌ | ❌ |
| graphql-go | 24 | ✅ | ❌ | ❌ | ❌ | ✅ | ⚠️ | ❌ |
| juniper | 24 | ❌ | ❌ | ❌ | ❌ | ✅ | ❌ | ⚠️ |
| Diana.jl | 10 | ✅ | ❌ | ❌ | ❌ | ✅ | ❌ | ❌ |
| gql-dart/gql | 9 | ✅ | ❌ | ❌ | ❌ | ✅ | ❌ | ❌ |
| Agoo | 1 | ❌ | ❌ | ❌ | ❌ | ✅ | ⚠️ | ❌ |
| Lighthouse | 1 | ✅ | ⚠️ | ⚠️ | ⚠️ | ✅ | ⚠️ | ✅ |
Verwenden Sie graphw00f, um eine GraphQL-API zu identifizieren und die zugrunde liegende Implementierung zu bestimmen.
Interessiert an einem Beitrag? Eine Diskrepanz gefunden? Bitte erstellen Sie ein GitHub-Issue oder einen PR mit Ihren Details.
