CVE-2026-5432-GraphQL-Batching-Alias-Confusion-SQL-Injection

7. CVE-2026-5432 – GraphQL 批处理别名混淆 SQL 注入 概述 GraphQL 解析器根据字段别名动态构造 SQL 查询。通过使用批处理和别名，攻击者可以绕过白名单并注入 SQL。 严重性： 严重（数据库接管） Node.js 服务器与漏洞利用 root@kitploit: // vulnerablegraphqlserver.js const express = require'express'; const graphqlHTTP = require'express-graphql'; const buildSchema = require'graphql'...