CVE-2026-92682 in graphql
Zusammenfassung
von VulDB • 12.10.2026
In @neo4j/graphql-Versionen ab 7.0.0 bis einschließlich (aber nicht eingeschlossen) 7.6.4 wird der none-Quantifizierer bei @authorization-Filtern für Beziehungen und Verbindungen beim Übersetzen in Cypher nicht negiert, sodass er sich wie some verhält. Eine Regel wie „none of the related denied users matches the JWT subject“ gibt daher genau die Datensätze zurück, die ausgeschlossen werden sollten, und schließt diejenigen aus, die zurückgegeben werden sollten. Ein authentifizierter Benutzer, dem eine solche Regel den Zugriff verweigern soll, kann auf die geschützten Datensätze zugreifen. Dies gilt auch für Mutationen, sodass sensible Daten von Benutzern erstellt und gelöscht werden können, denen der Zugang gemäß den typedefs nicht gestattet sein sollte. Behoben in Version 7.6.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.