3. CVE-2026-11103 – GraphQL 批处理别名速率限制绕过

程序代码（Node.js + Python 漏洞利用）

// graphql_rate_limit_server.js - GraphQL with naive rate limiter
const express = require('express');
const { graphqlHTTP } = require('express-graphql');
const { buildSchema } = require('graphql');

const schema = buildSchema(`
  type Query {
    secret: String
  }
`);

let requestCount = 0;
const rateLimit = (req, res, next) => {
    requestCount++;
    if (requestCount > 5) {
        return res.status(429).send('Rate limit exceeded');
    }
    next();
};

const root = { secret: () => 'SuperSecretData' };

const app = express();
app.use(rateLimit);
app.use('/graphql', graphqlHTTP({ schema, rootValue: root, graphiql: true }));
app.listen(4000, () => console.log('GraphQL on :4000'));

CVE-2026-11103 – GraphQL 批处理别名速率限制绕过

概述

GraphQL API 根据 HTTP 请求的数量来执行速率限制，而不是根据已解析字段的复杂性或数量。通过使用字段别名，攻击者可以在单个 HTTP 请求中发起多个开销高昂的查询，从而有效绕过速率限制。

漏洞详情

类型： 速率限制绕过
影响： 信息泄露、拒绝服务。
根本原因： 速率限制器将每个 HTTP 请求计为一次操作，而忽略了单个 GraphQL 文档可能包含多个别名字段，每个字段都会消耗服务器资源。

漏洞利用演示

启动服务器：

npm install express express-graphql graphql
node graphql_rate_limit_server.js

运行漏洞利用脚本：
```
python exploit_graphql_alias_bypass.py
```

CVE-2026-11103-GraphQL-Batching-Alias-Rate-Limit-Bypass

最受欢迎