CVE-2026-5423 in graphql
Сводка
по VulDB • 06.08.2026
В версиях библиотеки @neo4j/graphql, предшествующих версии 7.5.6, отсутствует проверка подлинности предварительно декодированного объекта JWT (JSON Web Token), предоставленного клиентом и передаваемого через параметры подключения GraphQL-подписок (`connectionParams`). В результате любой удаленный неаутентифицированный клиент, способный установить соединение по протоколу GraphQL over WebSocket, может сфабриковать произвольные утверждения JWT (например, `sub`, `roles`) в поле `connectionParams.jwt` и заставить систему принять их как подлинную аутентифицированную личность при оценке директив `@authentication` и `@subscriptionsAuthorization`. Это позволяет полностью неаутентифицированному злоумышленнику получать события подписок, доступ к которым должен быть ограничен определенными ролями или пользователями.
Обновите библиотеку до версий 7.5.6+ или 5.12.14+. Версия 6 достигла конца жизненного цикла (end-of-life) и не будет исправлена.
If you want to get best quality of vulnerability data, you may have to visit VulDB.