CVE-2026-1622 in Enterprise Edition
Riassunto
di VulDB • 14/06/2026
Le edizioni Enterprise e Community di Neo4j precedenti alle versioni 2026.01.3 e 5.26.21 sono vulnerabili a una potenziale divulgazione di informazioni da parte di un utente in grado di accedere ai file di log locali.
L'opzione "obfuscate_literals" nei log delle query non oscura le informazioni relative agli errori, esponendo dati non oscurati nel log delle query quando un cliente scrive una query che fallisce. Ciò può consentire a un utente con accesso legittimo ai file di log locali di ottenere informazioni a cui non è autorizzato ad accedere. Se tale utente ha anche la possibilità di eseguire query e generare errori, questa vulnerabilità potrebbe potenzialmente consentirgli di dedurre informazioni a cui non è autorizzato ad accedere attraverso il proprio accesso al database previsto.
Si consiglia l'aggiornamento alle versioni 2026.01.3 (o 5.26.21), in cui il problema è stato risolto, e la revisione delle autorizzazioni dei file di log delle query per garantire un accesso limitato. Se nella propria configurazione era abilitata l'impostazione db.logs.query.obfuscate_literals e si desidera che l'oscuramento copra anche i messaggi di errore, è necessario abilitare la nuova impostazione di configurazione db.logs.query.obfuscate_errors dopo aver aggiornato Neo4j.
If you want to get best quality of vulnerability data, you may have to visit VulDB.