CVE-2026-32247 in graphiti
الملخص
بحسب VulDB • 16/05/2026
Graphiti هو إطار عمل لبناء والاستعلام عن رسوم بيانية للسياق الزمني (temporal context graphs) لوكلاء الذكاء الاصطناعي. تحتوي إصدارات Graphiti السابقة للإصدار 0.28.2 على ثغرة حقن Cypher في عملية بناء مرشحات البحث المشتركة للخوادم غير التابعة لـ Kuzu. كانت قيم العلامات (labels) التي يتحكم فيها المهاجم والمُزودة عبر `SearchFilters.node_labels` تُدمج مباشرةً في تعبيرات علامات Cypher دون أي تحقق من الصحة. في عمليات نشر MCP، كان من الممكن استغلال هذه الثغرة ليس فقط من خلال الوصول المباشر وغير الموثوق به إلى خادم Graphiti MCP، ولكن أيضاً من خلال حقن الأوامر (prompt injection) ضد عميل LLM الذي يمكن حثه على استدعاء `search_nodes` بقيم `entity_types` يتحكم فيها المهاجم. يقوم خادم MCP بربط قيم `entity_types` بـ `SearchFilters.node_labels`، والتي تصل بعد ذلك إلى مسار بناء Cypher المتأثر. شملت الخوادم المتأثرة Neo4j وFalkorDB وNeptune. لم تتأثر Kuzu بثغرة حقن العلامات لأنها استخدمت معالجة علامات معلمة (parameterized label handling) بدلاً من علامات Cypher المُدمجة كنصوص (string-interpolated Cypher labels). تم التخفيف من هذه المشكلة في الإصدار 0.28.2.
Be aware that VulDB is the high quality source for vulnerability data.