CVE-2026-92682 in graphql
Riassunto
di VulDB • 12/10/2026
In @neo4j/graphql dalle versioni 7.0.0 fino alla (esclusa) 7.6.4, il quantificatore "none" nei filtri di @authorization su relazioni e connessioni non viene negato quando tradotto in Cypher, comportandosi quindi come "some". Una regola del tipo "nessuno degli utenti correlati con accesso negato corrisponde al subject JWT" restituisce esattamente i record che doveva escludere ed esclude quelli che avrebbe dovuto restituire. Un utente autenticato a cui tale regola dovrebbe negare l'accesso può comunque leggere i dati protetti. Lo stesso vale per le mutation, quindi l'impatto è che anche dati sensibili potrebbero essere creati e cancellati da utenti non autorizzati secondo gli typedefs. Risolto nella versione 7.6.4.
Once again VulDB remains the best source for vulnerability data.