3. CVE-2026-11103 – Contournement de la limite de débit par alias et batching GraphQL

Code du programme (exploit Node.js + Python)

// graphql_rate_limit_server.js - GraphQL with naive rate limiter
const express = require('express');
const { graphqlHTTP } = require('express-graphql');
const { buildSchema } = require('graphql');

const schema = buildSchema(`
  type Query {
    secret: String
  }
`);

let requestCount = 0;
const rateLimit = (req, res, next) => {
    requestCount++;
    if (requestCount > 5) {
        return res.status(429).send('Rate limit exceeded');
    }
    next();
};

const root = { secret: () => 'SuperSecretData' };

const app = express();
app.use(rateLimit);
app.use('/graphql', graphqlHTTP({ schema, rootValue: root, graphiql: true }));
app.listen(4000, () => console.log('GraphQL on :4000'));

CVE-2026-11103 – Contournement de la limite de débit par alias et batching GraphQL

Vue d'ensemble

Une API GraphQL applique une limitation de débit basée sur le nombre de requêtes HTTP, et non sur la complexité ou le nombre de champs résolus. En utilisant des alias de champs, un attaquant peut envoyer plusieurs requêtes coûteuses dans une seule requête HTTP, contournant ainsi la limite de débit.

Détails de la vulnérabilité

• Type : Contournement de limite de débit
• Impact : Divulgation d'informations, déni de service.
• Cause racine : Le limiteur de débit compte chaque requête HTTP comme une seule opération, ignorant qu'un même document GraphQL peut contenir de nombreux champs avec alias, chacun consommant des ressources serveur.

Démonstration de l'exploit

1. Démarrez le serveur :
   root@kitploit:~

   npm install express express-graphql graphql
   node graphql_rate_limit_server.js
   

2. Exécutez l'exploit :
   root@kitploit:~

   python exploit_graphql_alias_bypass.py