C17-T004 · GraphQL, WebSocket et SSE
GraphQL batching abuse
« GraphQL batching abuse » : Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.
Comment lire le résultat
Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.
Ce qu’il faut corriger
Modifiez le contrat et les contrôles d’accès du point d’entrée visé ; conservez les usages légitimes de l’API.
Étapes de correction
- Dans le rapport, ouvrez le contrôle C17-T004 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
- Retrouvez dans les routes API, schémas, middleware et contrats clients le réglage ou le parcours associé à « GraphQL batching abuse ». Notez la valeur actuelle et les cas qui en dépendent.
- Modifiez le contrat et les contrôles d’accès du point d’entrée visé ; conservez les usages légitimes de l’API.
- Vérifiez le résultat sur le même périmètre : une requête permise et une requête non autorisée produisent les réponses prévues. Conservez la preuve et relancez C17-T004 dans AxiSecurity.
Preuve attendue
une requête permise et une requête non autorisée produisent les réponses prévues.