3. CVE-2026-11103 – Bypass del límite de tasa por alias en GraphQL Batching

Código del programa (exploit en Node.js + Python)

// graphql_rate_limit_server.js - GraphQL with naive rate limiter
const express = require('express');
const { graphqlHTTP } = require('express-graphql');
const { buildSchema } = require('graphql');

const schema = buildSchema(`
  type Query {
    secret: String
  }
`);

let requestCount = 0;
const rateLimit = (req, res, next) => {
    requestCount++;
    if (requestCount > 5) {
        return res.status(429).send('Rate limit exceeded');
    }
    next();
};

const root = { secret: () => 'SuperSecretData' };

const app = express();
app.use(rateLimit);
app.use('/graphql', graphqlHTTP({ schema, rootValue: root, graphiql: true }));
app.listen(4000, () => console.log('GraphQL on :4000'));

CVE-2026-11103 – Bypass del límite de tasa por alias en GraphQL Batching

Descripción general

Una API de GraphQL aplica la limitación de tasa en función del número de solicitudes HTTP, no de la complejidad ni del número de campos resueltos. Mediante el uso de alias de campo, un atacante puede emitir múltiples consultas costosas dentro de una sola solicitud HTTP, omitiendo efectivamente el límite de tasa.

Detalles de la vulnerabilidad

• Tipo: Bypass del límite de tasa
• Impacto: Divulgación de información, denegación de servicio.
• Causa raíz: El limitador de tasa cuenta cada solicitud HTTP como una sola operación, ignorando que un único documento GraphQL puede contener muchos campos con alias, cada uno de los cuales consume recursos del servidor.

Demostración del exploit

1. Inicia el servidor:
   root@kitploit:~

   npm install express express-graphql graphql
   node graphql_rate_limit_server.js
   

2. Ejecuta el exploit:
   root@kitploit:~

   python exploit_graphql_alias_bypass.py