CVE-2026-22014 – Injection nelle query persistite GraphQL tramite manipolazione dell'ID

Codice del programma (Node.js)

// graphql_persisted.js - Accepts persisted query IDs
const express = require('express');
const { graphqlHTTP } = require('express-graphql');
const queries = {
  "abc": "query { user { name } }"
};
app.post('/graphql', graphqlHTTP({
  schema: schema,
  customExecuteFn: (args) => {
    const doc = parse(queries[args.queryId] || args.query);
    return execute(args);
  }
}));

CVE-2026-22014 – Injection nelle query persistite GraphQL tramite manipolazione dell'ID

Panoramica

Un server GraphQL supporta le query persistite ma ripiega sul parametro query fornito se queryId è sconosciuto. Un attaccante può fornire un queryId inesistente insieme a una query GraphQL arbitraria, aggirando l'allowlist prevista delle query persistite.

Dettagli della vulnerabilità

• Tipo: Bypass del controllo degli accessi
• Impatto: Esecuzione di query arbitrarie, potenzialmente onerose o soggette a restrizioni.
• Causa principale: Il resolver considera attendibile la query fornita dal client quando queryId non viene trovato, invece di rifiutare la richiesta.

Dimostrazione dell'exploit

Avvia il server e invia un payload misto:

python exploit_persisted_query.py

Il server esegue la query dannosa.