CVE-2026-108096

Improper authorization in the query resolvers generated by @aws-amplify/graphql-index-transformer in AWS Amplify API Category before 3.1.2 might allow an authenticated remote user to read records owned by other users of the same application via crafted queries. This issue has been addressed in...

Strawberry legacy graphql-ws retains naturally completed subscription slots

Summary Strawberry's legacy graphql-ws subscription handler can retain task and subscription bookkeeping after a one-shot subscription has naturally sent its complete message. When the application configures maxsubscriptionsperconnection, the handler counts those completed operations in...

EUVD-2026-95391

Strawberry legacy graphql-ws retains naturally completed subscription slots...

GHSA-M952-2W3F-6R8H Strawberry legacy graphql-ws retains naturally completed subscription slots

Summary Strawberry's legacy graphql-ws subscription handler can retain task and subscription bookkeeping after a one-shot subscription has naturally sent its complete message. When the application configures maxsubscriptionsperconnection, the handler counts those completed operations in...

Strawberry GraphQL: Synchronous permission checks can treat an awaitable authorization result as truthy

Summary PermissionExtension.resolve evaluates the return value of haspermission for truthiness on the synchronous path. supportssync only classifies a permission as asynchronous when haspermission is declared with async def via inspect.iscoroutinefunction, so a plain def that returns an awaitable...

EUVD-2026-95392

Strawberry GraphQL: Synchronous permission checks can treat an awaitable authorization result as truthy...

GHSA-PFVF-FWFP-25MP Strawberry GraphQL: Synchronous permission checks can treat an awaitable authorization result as truthy

Summary PermissionExtension.resolve evaluates the return value of haspermission for truthiness on the synchronous path. supportssync only classifies a permission as asynchronous when haspermission is declared with async def via inspect.iscoroutinefunction, so a plain def that returns an awaitable...

graphw00f

Credits to Nick Aleks for the logo! graphw00f - GraphQL Server Fingerprinting Table of Contents How does it work? Detections GraphQL Threat Matrix Prerequisites Installation Configuration Example Usage Fingerprinting GraphQL Detecting & Fingerprinting GraphQL Support & Issues Resources How does i...

graphw00f

ロゴはNick Aleks氏に感謝！ graphw00f - GraphQLサーバーのフィンガープリンティング 目次 動作原理 検出機能 GraphQL脅威マトリックス 前提条件 インストール 設定 使用例 GraphQLのフィンガープリンティング GraphQLの検出とフィンガープリンティング サポートと問題 リソース 動作原理...

hetty

Hetty is an HTTP toolkit for security research. It aims to become an open source alternative to commercial software like Burp Suite Pro, with powerful features tailored to the needs of the infosec and bug bounty community. Features Machine-in-the-middle MITM HTTP proxy, with logs and advanced...

waf-bypass

WAF Bypass Tool WAF Bypass Tool is an open source tool to analyze the security of any WAF for False Positives and False Negatives using predefined and customizable payloads. Check your WAF before an attacker does. WAF Bypass Tool is developed by Nemesida WAF team with the participation of...

Damn-Vulnerable-GraphQL-Application

Damn Vulnerable GraphQL Application Damn Vulnerable GraphQL Applicationは、FacebookのGraphQL技術を意図的に脆弱に実装したもので、GraphQLセキュリティを学び、実践するためのものです。 目次 DVGAについて 動作モード シナリオ 前提条件 インストール インストール - Docker インストール - Docker Registry インストール - サーバー スクリーンショット メンテナ コントリビューター メンション 免責事項 ライセンス DVGAについて Damn Vulnerable...

CVE-2026-11103-GraphQL-Batching-Alias-Rate-Limit-Bypass

3. CVE-2026-11103 – GraphQL 批处理别名速率限制绕过 程序代码（Node.js + Python 漏洞利用） // graphqlratelimitserver.js - GraphQL with naive rate limiter const express = require'express'; const graphqlHTTP = require'express-graphql'; const buildSchema = require'graphql'; const schema = buildSchema type Query secret:...

cli

CloudGraphは、AWS、Azure、GCP、K8s向けの無料のオープンソースユニバーサル GraphQL API および Cloud Security Posture Management CSPM ツール です。CloudGraphを使用すると、以下の機能が得られます。 無料で手間いらずのコンプライアンスチェック（例：Azure CIS 1.3.1、GCP CIS 1.2、AWS CIS 1.2、AWS CIS 1.3、AWS CIS 1.4、AWS PCI 3.2.1、AWS NIST 800-53 Rev. 4）...

CVE-2022-35500

CVE-2022-35500 Amasty Blog Pro for Magento 2 的留言功能中存在存储型跨站脚本（XSS）漏洞 描述 Amasty Blog Pro 2.10.3 及 2.10.4 插件中，针对 Magento 2 的留言功能允许通过 GraphQL 端点在 AmBlogLeaveComment 变更的 name 参数中注入 JavaScript 代码。当受害者（管理员）尝试从管理面板删除该评论时，JavaScript 代码会被执行。 受影响版本 2.10.5 安全建议 将 Amasty Blog Pro for Magento 2 更新至 2.10.5 或更新版...

inql

InQL v6.1.2 - Burp Extension for Advanced GraphQL Testing !Doyensec Research...

inql

InQL v6.1.2 - 高度なGraphQLテストのためのBurp拡張機能 !Doyensec Research...

graphql-cop

GraphQL Cop - Security Audit Utility for GraphQL About GraphQL Cop is a small Python utility to run common security tests against GraphQL APIs. GraphQL Cop is perfect for running CI/CD checks in GraphQL. It is lightweight, and covers interesting security issues in GraphQL. GraphQL Cop allows you ...

graphql-cop

GraphQL Cop - GraphQL用セキュリティ監査ユーティリティ 概要 GraphQL Copは、GraphQL APIに対して一般的なセキュリティテストを実行する軽量なPythonユーティリティです。GraphQL Copは、GraphQLのCI/CDチェックの実行に最適です。軽量で、GraphQLの興味深いセキュリティ問題をカバーしています。 GraphQL Copは、特定された脆弱性に対してcURLコマンドを提供することで、結果を再現できます。 必要条件 Python3 Requestsライブラリ 検出内容 エイリアスオーバーロード DoS バッチクエリ DoS...

ApiHunter

支持开发 如果本项目对你的工作有帮助，请支持持续的维护和新功能开发。 ETH 捐赠钱包 0x11282eE5726B3370c8B480e321b3B2aA13686582 扫描二维码或复制上面的钱包地址。 🎯 ApiHunter 📺 视频演示 点击在 YouTube 上观看完整演示 🖥️ 桌面应用截图 !ApiHunter 桌面版 — Full Scan 控件：Quick Passive / Deep Active 预设、可折叠的 Safety、Runtime Limits 和 Scanner Toggles...