Skip to content
KitploitKITPLOIT
도구블로그
제출
도구블로그
제출

해킹, 침투 테스트 및 사이버 보안 도구를 당신의 보안 무기고에!

Kitploit은 해킹, 사이버 보안 및 침투 테스트 도구 디렉토리입니다. 최신 프로젝트 업데이트를 발견하여 취약점을 찾고, 시스템을 분석하고, 테스트를 자동화하고, 보안을 강화하세요.

··피드·문의·개인정보·© 2026 Kitploit

도구 디렉토리

카테고리

모든 카테고리 보기
Loading categories
CVE-2026-11103-GraphQL-Batching-Alias-Rate-Limit-Bypass — CVE-2026-11103에 대한 개념 증명 익스플로잇으로, 배칭(batching)과 필드 별칭(field aliases)을 통한 GraphQL 속도 제한(rate-limit) 우회를 시연합니다. 취약한 Node.js 서버와 Python 익스플로잇 스크립트를 포함합니다. | Kitploit
도구/GitHubGitHub/george0papasotiriou/cve-2026-11103-graphql-batching-alias-rate-limit-bypass
Vulnerability AnalysisExploitationWeb Application ExploitationAPI Security TestingWeb SecurityAPI Security
GitHubgeorge0papasotiriou/cve-2026-11103-graphql-batching-alias-rate-limit-bypass

CVE-2026-11103-GraphQL-Batching-Alias-Rate-Limit-Bypass

CVE-2026-11103에 대한 개념 증명 익스플로잇으로, 배칭(batching)과 필드 별칭(field aliases)을 통한 GraphQL 속도 제한(rate-limit) 우회를 시연합니다. 취약한 Node.js 서버와 Python 익스플로잇 스크립트를 포함합니다.

인기

모두 보기 →

커뮤니티에서 가장 많이 사용되는 도구를 찾아보세요.

모든 도구 탐색

도구 컬렉션을 둘러보세요

모든 도구 보기 →
공유
저장소 보기
17일 전아직 검토되지 않음

3. CVE-2026-11103 – GraphQL 일괄 처리 별칭 Rate Limit 우회

프로그램 코드 (Node.js + Python 익스플로잇)

root@kitploit:~
// graphql_rate_limit_server.js - GraphQL with naive rate limiter
const express = require('express');
const { graphqlHTTP } = require('express-graphql');
const { buildSchema } = require('graphql');

const schema = buildSchema(`
  type Query {
    secret: String
  }
`);

let requestCount = 0;
const rateLimit = (req, res, next) => {
    requestCount++;
    if (requestCount > 5) {
        return res.status(429).send('Rate limit exceeded');
    }
    next();
};

const root = { secret: () => 'SuperSecretData' };

const app = express();
app.use(rateLimit);
app.use('/graphql', graphqlHTTP({ schema, rootValue: root, graphiql: true }));
app.listen(4000, () => console.log('GraphQL on :4000'));

CVE-2026-11103 – GraphQL 일괄 처리 별칭 Rate Limit 우회

Severity: Medium

개요

GraphQL API는 해석되는 필드의 복잡성이나 수가 아닌 HTTP 요청 수를 기준으로 rate limiting을 적용합니다. 필드 별칭을 사용하면 공격자는 단일 HTTP 요청 내에서 여러 개의 고비용 쿼리를 실행하여 rate limit을 사실상 우회할 수 있습니다.

취약점 세부 정보

  • 유형: Rate Limit 우회
  • 영향: 정보 공개, 서비스 거부.
  • 근본 원인: rate limiter는 각 HTTP 요청을 하나의 작업으로 계산하지만, 단일 GraphQL 문서에는 서버 리소스를 소비하는 여러 별칭 필드가 포함될 수 있다는 점을 무시합니다.

공격 시연

  1. 서버를 시작합니다:
    root@kitploit:~
    npm install express express-graphql graphql
    node graphql_rate_limit_server.js
    
  2. 익스플로잇을 실행합니다:
    root@kitploit:~
    python exploit_graphql_alias_bypass.py
    
도구 다운로드