CVE-2026-5423 in graphql
Résumé
par VulDB • 06/08/2026
Les versions de la bibliothèque @neo4j/graphql antérieures à la 7.5.5 ne vérifient pas l'authenticité d'un objet JWT pré-décodé fourni par le client et transmis via les connectionParams de la connexion GraphQL Subscription. Par conséquent, tout client distant non authentifié capable d'établir une connexion GraphQL-over-WebSocket peut falsifier des revendications JWT arbitraires (par exemple sub, roles) dans connectionParams.jwt et se faire accepter comme identité authentifiée lors de l'évaluation des directives @authentication et @subscriptionsAuthorization. Cela permet à un attaquant totalement non authentifié de recevoir les événements d'abonnement qui devraient être restreints à certains rôles ou utilisateurs authentifiés.
Mettez à jour la bibliothèque vers les versions 7.5.6+ ou 5.12.14+. La version 6 est en fin de vie (end-of-life) et ne recevra pas de correctif.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.