---

CVE-2026-22014 – GraphQL Persisted Queries इंजेक्शन, ID हेरफेर के माध्यम से

प्रोग्राम कोड (Node.js)

// graphql_persisted.js - Accepts persisted query IDs
const express = require('express');
const { graphqlHTTP } = require('express-graphql');
const queries = {
  "abc": "query { user { name } }"
};
app.post('/graphql', graphqlHTTP({
  schema: schema,
  customExecuteFn: (args) => {
    const doc = parse(queries[args.queryId] || args.query);
    return execute(args);
  }
}));

CVE-2026-22014 – GraphQL Persisted Queries इंजेक्शन, ID हेरफेर के माध्यम से

अवलोकन

एक GraphQL सर्वर persisted queries का समर्थन करता है, लेकिन queryId अज्ञात होने पर दिए गए query पैरामीटर का उपयोग करता है। एक हमलावर एक गैर-मौजूद queryId के साथ एक मनमाना GraphQL query प्रदान कर सकता है, जिससे persisted queries की इच्छित allowlist को दरकिनार किया जा सकता है।

भेद्यता विवरण

• प्रकार: एक्सेस नियंत्रण बायपास
• प्रभाव: मनमानी, संभावित रूप से महंगी या प्रतिबंधित queries का निष्पादन।
• मूल कारण: रिज़ॉल्वर queryId न मिलने पर अनुरोध को अस्वीकार करने के बजाय क्लाइंट द्वारा प्रदान किए गए query पर भरोसा करता है।

एक्सप्लॉइट प्रदर्शन

सर्वर प्रारंभ करें और एक मिश्रित पेलोड भेजें:

python exploit_persisted_query.py

सर्वर दुर्भावनापूर्ण query को निष्पादित करता है।