nicholasaleks/graphql-threat-matrixCadre de menaces GraphQL utilisé par les professionnels de la sécurité pour rechercher les lacunes de sécurité dans les implémentations GraphQL.
graphql-threat-matrix a été conçu pour les chasseurs de bugs, chercheurs en sécurité et hackers afin de les aider à découvrir des vulnérabilités dans plusieurs implémentations GraphQL.
Les différences dans la manière dont les implémentations GraphQL interprètent et se conforment à la spécification GraphQL peuvent entraîner des lacunes de sécurité et des vecteurs d'attaque uniques. En analysant et en comparant les facteurs qui sous-tendent les risques de sécurité à travers différentes implémentations, l'écosystème GraphQL peut prendre des décisions de déploiement plus sûres et également améliorer collectivement la maturité de sécurité de toutes les implémentations.
Légende
✅ - Activé par défaut
⚠️ - Désactivé par défaut
❌ - Non pris en charge
| Implémentation | Validations | Suggestions de champs | Limite de profondeur de requête | Analyse du coût de requête | Requêtes persistées automatiques | Introspection | Mode débogage | Requêtes par lots |
|---|---|---|---|---|---|---|---|---|
| wp-graphql | 38 | ✅ | ⚠️ | ❌ | ❌ | ⚠️ | ⚠️ | ✅ |
| graphql-php | 37 | ✅ | ⚠️ | ⚠️ | ❌ | ✅ | ⚠️ | ⚠️ |
| graphql-api-for-wp | 37 | ⚠️ | ❌ | ❌ | ✅ | ✅ | ⚠️ | ✅ |
| Apollo | 34 | ✅ | ⚠️ | ⚠️ | ✅ | ✅ | ✅ | ✅ |
| graphql-yoga | 34 | ✅ | ⚠️ | ❌ | ❌ | ⚠️ | ⚠️ | ⚠️ |
| graphene | 34 | ✅ | ❌ | ❌ | ❌ | ✅ | ❌ | ⚠️ |
| Ariadne | 34 | ✅ | ⚠️ | ⚠️ | ❌ | ✅ | ⚠️ | ❌ |
| Strawberry | 34 | ✅ | ⚠️ | ❌ | ❌ | ✅ | ❌ | ❌ |
| graphql-dotnet | 29 | ✅ | ⚠️ | ⚠️ | ❌ | ✅ | ❌ | ⚠️ |
| graphql-ruby | 28 | ✅ | ❌ | ⚠️ | ⚠️ | ✅ | ❌ | ✅ |
| Sangria | 27 | ✅ | ⚠️ | ⚠️ | ❌ | ✅ | ❌ | ⚠️ |
| Tartiflette | 26 | ❌ | ❌ | ❌ | ❌ | ✅ | ❌ | ❌ |
| graphql-java | 26 | ✅ | ⚠️ | ⚠️ | ❌ | ✅ | ❌ | ⚠️ |
| gqlgen | 25 | ✅ | ❌ | ⚠️ | ⚠️ | ✅ | ⚠️ | ⚠️ |
| Dgraph | 25 | ✅ | ❌ | ❌ | ⚠️ | ✅ | ❌ | ❌ |
| graphql-go | 24 | ✅ | ❌ | ❌ | ❌ | ✅ | ⚠️ | ❌ |
| juniper | 24 | ❌ | ❌ | ❌ | ❌ | ✅ | ❌ | ⚠️ |
| Diana.jl | 10 | ✅ | ❌ | ❌ | ❌ | ✅ | ❌ | ❌ |
| gql-dart/gql | 9 | ✅ | ❌ | ❌ | ❌ | ✅ | ❌ | ❌ |
| Agoo | 1 | ❌ | ❌ | ❌ | ❌ | ✅ | ⚠️ | ❌ |
| Lighthouse | 1 | ✅ | ⚠️ | ⚠️ | ⚠️ | ✅ | ⚠️ | ✅ |
Utilisez graphw00f pour identifier une API GraphQL cible et déterminer l'implémentation backend.
Intéressé à contribuer ? Vous avez trouvé une divergence ? Veuillez créer un problème GitHub ou une PR avec vos détails.
