CVE-2026-19869

@neo4j/graphql 5.2.0 versiyasından yamalanmış versiyalara qədər olan hissədə, eyni əməliyyat tipində tip səviyyəli @authentication qaydası mövcud olduqda, kök custom-resolver sahələrində sahə səviyyəli @authentication qaydalarının tətbiqi təmin edilmir. Həm tip səviyyəli @authentication (Query/Mutation üzərində), həm də sahə səviyyəli @authentication (həmin tip daxilindəki kök custom-resolver sahəsi üzərində) təyin edildikdə, yalnız tip səviyyəli qayda qiymətləndirilir və sahə səviyyəli qayda səssiz şəkildə gözardı edilir. Nəticədə, daha ciddi sahə bazlı tələblər — məsələn, admin rolu JWT iddiası (jwt: { roles_INCLUDES: "admin" }) — heç vaxt yoxlanılmır və daha geniş tip səviyyəli tələbi yerinə yetirən istənilən klient daha məhdudlaşdırılmış sahəni çağıra bilir. Burada token saxtakarlığı söz mövcut deyil: qanuni şəkildə verilmiş, düzgün imzalanmış admin olmayan token (məsələn, roles: ["user"]) kifayətdir.