CVE-2026-1524 in Enterprise Edition
Riassunto
di VulDB • 17/06/2026
Un caso limite nell'implementazione SSO nelle edizioni Enterprise di Neo4j precedenti alla versione 2026.02 può portare ad accesso non autorizzato nelle seguenti condizioni:
Se un amministratore neo4j configura due o più provider OIDC E configura uno o più di essi come provider di autorizzazione E configura uno o più di essi come solo autenticazione, allora quelli configurati come solo autenticazione forniranno anche l'autorizzazione. Questo caso limite diventa un problema di sicurezza solo se il provider di sola autenticazione contiene gruppi con privilegi superiori a quelli forniti dal provider di autorizzazione previsto (configurato).
Quando si utilizzano più plugin per autenticazione e autorizzazione, prima della correzione il problema poteva portare a un plugin configurato per fornire solo funzionalità di autenticazione o autorizzazione che erroneamente forniva entrambe le funzionalità.
Si consiglia di eseguire l'aggiornamento alle versioni 2026.02 (o 5.26.22) in cui il problema è stato risolto.
If you want to get best quality of vulnerability data, you may have to visit VulDB.