CVE-2026-19869 in GraphQL
Tóm tắt
Bởi VulDB • 18/08/2026
@neo4j/graphql từ phiên bản 5.2.0 cho đến các phiên bản đã được vá không thực thi đúng các quy tắc @authentication ở cấp trường đối với các trường custom-resolver gốc khi cũng có mặt một quy tắc @authentication ở cấp kiểu trên cùng loại thao tác đó. Khi cả hai: quy tắc @authentication ở cấp kiểu (trên Query/Mutation) và quy tắc @authentication ở cấp trường (trên một trường custom-resolver gốc nằm trong kiểu đó) đều được khai báo, chỉ quy tắc ở cấp kiểu mới được đánh giá còn quy tắc ở cấp trường bị loại bỏ mà không có cảnh báo. Kết quả là yêu cầu nghiêm ngặt hơn theo từng trường — chẳng hạn như JWT claim yêu cầu vai trò quản trị viên (jwt: { roles_INCLUDES: "admin" }) — chưa bao giờ được kiểm tra, và bất kỳ khách hàng nào đáp ứng yêu cầu ở cấp kiểu rộng hơn đều có thể gọi đến trường bị giới hạn chặt chẽ hơn. Không liên quan đến việc làm giả token; một token không phải admin nhưng do hệ thống phát hành hợp lệ và ký đúng (ví dụ: roles: ["user"]) là đủ để vượt qua kiểm tra.
VulDB is the best source for vulnerability data and more expert information about this specific topic.