GraphQL Injection

Définition

Le GraphQL Injection regroupe un ensemble de vulnérabilités spécifiques à l'usage de GraphQL, langage de requête d'API offrant une flexibilité structurelle nettement supérieure aux API REST traditionnelles mais introduisant de nouvelles surfaces d'attaque propres à ce paradigme, référencées dans l'OWASP API Security Top 10. L'introspection non désactivée constitue un risque fondamental : GraphQL permet nativement d'interroger le schéma complet de l'API, fonctionnalité utile en développement mais exposant en production la structure de données, les types disponibles et les mutations possibles, révélant la surface d'attaque complète sans reconnaissance préalable. L'injection via arguments non sanitisés reproduit les vulnérabilités classiques d'injection SQL ou NoSQL lorsque les arguments d'une requête GraphQL sont directement intégrés à une requête de base de données sous-jacente sans validation appropriée. Les attaques par déni de service via requêtes imbriquées exploitent la flexibilité de GraphQL, un attaquant pouvant construire une requête imbriquée ou circulaire multipliant exponentiellement la charge nécessaire à sa résolution, sans limite naturelle contrairement aux endpoints REST fixes. Les batching attacks exploitent la capacité de GraphQL à traiter plusieurs opérations en une seule requête HTTP pour contourner les mécanismes de rate limiting comptant les requêtes plutôt que les opérations. Enfin, l'IDOR via mutations survient lorsque les opérations d'écriture ne vérifient pas l'autorisation de l'utilisateur sur l'objet modifié, reproduisant la faille IDOR classique dans le contexte de GraphQL.