检测到 GraphQL 字段建议
medium Web App Scanning 插件 ID 112895
语言：
简介
检测到 GraphQL 字段建议描述
GraphQL 是一种适用于 API 的开源查询和操纵语言，也是为处理对应用程序数据集的这些查询而构建的服务器端运行时。默认情况下，GraphQL 具有一项功能，可针对查询中使用的字段名称或所提供的错误字段变更提出建议。利用此功能，攻击者可发动暴力破解攻击，以发现 GraphQL 方案和潜在的隐藏或隐私端点，而且攻击者还可在目标服务器上尝试访问敏感信息或执行任意操作。扫描程序检测到远程 GraphQL 服务器启用了字段建议。
解决方案
如果可能，请在所使用的 GraphQL 实现中禁用建议功能，或尝试考虑使用允许执行此操作的建议功能。另见
https://blog.logrocket.com/security-and-performance-tips-and-tricks-for-your-graphql-servers/
https://cheatsheetseries.owasp.org/cheatsheets/GraphQL_Cheat_Sheet.html
插件详情
严重性: Medium
ID: 112895
类型: remote
系列: Web Applications
发布时间: 2021/7/19
最近更新时间: 2021/9/7
扫描模板: api, basic, full, pci, scan
风险信息
VPR
风险因素: Low
分数: 1.4
CVSS v2
风险因素: Medium
基本分数: 5
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS 分数来源: Tenable
CVSS v3
风险因素: Medium
基本分数: 5.3
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
CVSS 分数来源: Tenable