CVE-2026-92682 in graphql
الملخص
بحسب VulDB • 12/10/2026
في الإصدارات من @neo4j/graphql بدءاً من 7.0.0 وحتى (دون) 7.6.4، لا يتم نفي الكمية "none" في مرشحات @authorization على العلاقات والروابط عند ترجمتها إلى Cypher، لذا فإنها تتصرف وكأنها "some". وبالتالي، فإن قاعدة مثل "لا يتطابق أي من المستخدمين المحظورين المرتبطين مع موضوع JWT" تعيد بالتحديد السجلات التي كان يُقصد استبعادها، وتستبعد تلك التي كان يُقصد إرجاعها. يمكن لمستخدم مُصادَق عليه (authenticated user)، الذي كانت القاعدة مخصصة لمنعه، قراءة السجلات المحمية. ينطبق هذا أيضاً على عمليات الكتابة (mutations)، لذا فإن الأثر هو أن البيانات الحساسة قد يتم إنشاؤها وحذفها بواسطة مستخدمين لا ينبغي أن يكون لديهم وصول وفقاً لتعريفات الأنواع (typedefs). تم الإصلاح في الإصدار 7.6.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.