偵測到 GraphQL 欄位建議
medium Web App Scanning Plugin ID 112895
語系：
概要
偵測到 GraphQL 欄位建議說明
GraphQL 是一種適用於 API 的開放原始碼查詢和操控語言，而且是為處理應用程式資料集上的這些查詢而構建的伺服器端執行階段。根據預設，GraphQL 具有一項功能，可針對查詢中要使用的欄位名稱或接收的要求中提供的錯誤變更提供建議。攻擊者可利用此功能發動暴力密碼破解攻擊，以探索 GraphQL 配置和潛在的隱藏或私人端點，並可嘗試存取敏感資訊或在目標伺服器上執行任意動作。掃描程式偵測到遠端 GraphQL 伺服器已啟用欄位建議。
解決方案
如果可能，請在所使用的 GraphQL 實作中停用建議功能，或嘗試考慮使用允許執行此動作的功能。另請參閱
https://blog.logrocket.com/security-and-performance-tips-and-tricks-for-your-graphql-servers/
https://cheatsheetseries.owasp.org/cheatsheets/GraphQL_Cheat_Sheet.html
Plugin 詳細資訊
嚴重性: Medium
ID: 112895
類型: remote
系列: Web Applications
已發布: 2021/7/19
已更新: 2021/9/7
掃描範本: api, basic, full, pci, scan
風險資訊
VPR
風險因素: Low
分數: 1.4
CVSS v2
風險因素: Medium
基本分數: 5
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS 評分資料來源: Tenable
CVSS v3
風險因素: Medium
基本分數: 5.3
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
CVSS 評分資料來源: Tenable