3. CVE-2026-11103 – Обход ограничения частоты запросов GraphQL через алиасы при пакетной обработке

Код программы (эксплойт Node.js + Python)

// graphql_rate_limit_server.js - GraphQL with naive rate limiter
const express = require('express');
const { graphqlHTTP } = require('express-graphql');
const { buildSchema } = require('graphql');

const schema = buildSchema(`
  type Query {
    secret: String
  }
`);

let requestCount = 0;
const rateLimit = (req, res, next) => {
    requestCount++;
    if (requestCount > 5) {
        return res.status(429).send('Rate limit exceeded');
    }
    next();
};

const root = { secret: () => 'SuperSecretData' };

const app = express();
app.use(rateLimit);
app.use('/graphql', graphqlHTTP({ schema, rootValue: root, graphiql: true }));
app.listen(4000, () => console.log('GraphQL on :4000'));

CVE-2026-11103 – Обход ограничения частоты запросов GraphQL через алиасы при пакетной обработке

Обзор

GraphQL API применяет ограничение частоты запросов на основе количества HTTP-запросов, а не сложности или количества разрешаемых полей. Используя алиасы полей, злоумышленник может отправить несколько ресурсоёмких запросов в рамках одного HTTP-запроса, фактически обходя ограничение частоты запросов.

Детали уязвимости

Тип: Обход ограничения частоты запросов
Воздействие: Раскрытие информации, отказ в обслуживании.
Корневая причина: Ограничитель частоты запросов учитывает каждый HTTP-запрос как одну операцию, игнорируя то, что один документ GraphQL может содержать множество полей с алиасами, каждое из которых потребляет ресурсы сервера.

Демонстрация эксплойта

Запустите сервер:

npm install express express-graphql graphql
node graphql_rate_limit_server.js

Запустите эксплойт:
```
python exploit_graphql_alias_bypass.py
```

CVE-2026-11103-GraphQL-Batching-Alias-Rate-Limit-Bypass

Популярное