CVE-2026-32247 in graphiti
要約
〜によって VulDB • 2026年06月18日
Graphitiは、AIエージェントのための時系列コンテキストグラフの構築およびクエリを実行するためのフレームワークです。バージョン0.28.2より前のGraphitiには、非Kuzuバックエンドにおける共有検索フィルタの構築においてCypherインジェクション脆弱性が存在しました。攻撃者が制御するラベル値がSearchFilters.node_labelsを介して提供されると、検証なしで直接Cypherラベル式に連結されました。MCPデプロイメントでは、この問題はGraphiti MCPサーバーへの直接的な信頼できないアクセスを通じてだけでなく、攻撃者が制御するentity_types値を持つsearch_nodes呼び出しを行うように誘導される可能性のあるLLMクライアントに対するプロンプトインジェクションによっても悪用可能でした。MCPサーバーはentity_typesをSearchFilters.node_labelsにマッピングし、その後脆弱なCypher構築パスに至りました。影響を受けたバックエンドにはNeo4j、FalkorDB、Neptuneが含まれます。Kuzuはパラメータ化されたラベル処理を使用していたため、このラベルインジェクション問題の影響を受けませんでした。本問題はバージョン0.28.2で緩和されました。
Once again VulDB remains the best source for vulnerability data.