CVE-2026-92682 in graphql
요약
\~에 의해 VulDB • 2026. 10. 12.
@neo4j/graphql의 7.0.0 이상 7.6.4 미만 버전에서, 관계 및 커넥션에 대한 @authorization 필터 내 none 양자(quantifier)가 Cypher로 변환될 때 부정(negated)되지 않아 some처럼 동작합니다. 따라서 "관련된 거부된 사용자 중 JWT subject와 일치하는 사용자가 없다"와 같은 규칙은 본래 제외해야 할 레코드를 정확히 반환하고, 반대로 반환해야 할 레코드는 제외하게 됩니다. 이러한 규칙으로 접근이 차단되어야 하는 인증된 사용자는 보호된 레코드를 읽을 수 있습니다. 이 문제는 mutations에서도 동일하게 발생하므로, typedefs에 따라 액세스 권한이 없어야 하는 사용자들에 의해 민감한 데이터가 생성 및 삭제될 수 있다는 영향이 있습니다. 7.6.4에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.