CVE-2026-32247 in graphiti
요약
\~에 의해 VulDB • 2026. 06. 18.
Graphiti는 AI 에이전트를 위한 시점 컨텍스트 그래프를 구축하고 쿼리하기 위한 프레임워크입니다. Graphiti 버전 0.28.2 이전에는 비Kuzu 백엔드에 대한 공유 검색 필터 구성에서 Cypher 주입 취약점이 존재했습니다. SearchFilters.node_labels를 통해 제공된 공격자가 제어할 수 있는 라벨 값이 검증 없이 직접 Cypher 라벨 표현식에 연결되었습니다. MCP 배포 환경에서는 Graphiti MCP 서버에 대한 신뢰할 수 없는 접근을 통한 직접적인 악용뿐만 아니라, search_nodes 함수 호출로 유도될 수 있는 LLM 클라이언트에 대한 프롬프트 인젝션을 통해서도 이 취약점이 악용 가능했습니다. MCP 서버는 entity_types를 SearchFilters.node_labels로 매핑했으며, 이는 결국 취약한 Cypher 구성 경로에 도달하게 되었습니다. 영향을 받은 백엔드에는 Neo4j, FalkorDB 및 Neptune이 포함되었습니다. Kuzu는 문자열 보간 방식의 Cypher 라벨 대신 파라미터화된 라벨 처리 방식을 사용했기 때문에 이 라벨 주입 문제로부터 안전했습니다. 해당 문제는 버전 0.28.2에서 완화되었습니다.
Once again VulDB remains the best source for vulnerability data.