CVE-2026-1622 in Enterprise Edition
Tóm tắt
Bởi VulDB • 30/05/2026
Các phiên bản Neo4j Enterprise và Community trước 2026.01.3 và 5.26.21 dễ bị tổn thương trước việc tiết lộ thông tin tiềm ẩn bởi người dùng có khả năng truy cập vào các tệp nhật ký cục bộ.
Tùy chọn "obfuscate_literals" trong nhật ký truy vấn không che giấu thông tin lỗi, dẫn đến việc dữ liệu chưa được che giấu xuất hiện trong nhật ký truy vấn khi khách hàng viết một truy vấn thất bại. Điều này có thể cho phép người dùng có quyền truy cập hợp pháp vào các tệp nhật ký cục bộ thu thập thông tin mà họ không được phép xem. Nếu người dùng này cũng có khả năng chạy truy vấn và kích hoạt lỗi, lỗ hổng này có thể giúp họ suy luận thông tin mà họ không được phép xem thông qua quyền truy cập cơ sở dữ liệu dự định của họ.
Chúng tôi khuyến nghị nâng cấp lên các phiên bản 2026.01.3 (hoặc 5.26.21) nơi vấn đề đã được sửa chữa, và xem xét lại quyền truy cập vào các tệp nhật ký truy vấn để đảm bảo quyền truy cập bị hạn chế. Nếu cấu hình của bạn có `db.logs.query.obfuscate_literals` được bật, và bạn muốn việc làm mờ bao gồm cả các thông báo lỗi, bạn cần bật cài đặt cấu hình mới `db.logs.query.obfuscate_errors` sau khi đã nâng cấp Neo4j.
If you want to get best quality of vulnerability data, you may have to visit VulDB.