CVE-2026-32247

Graphiti, süni intellekt agentləri üçün temporal kontekst qrafiklərinin qurulması və sorğulanması üçün nəzərdə tutulmuş bir freymvorkdur. Graphiti-nin 0.28.2 versiyasından əvvəlki versiyalarında, Kuzu olmayan backend-lər üçün ortaq axtarış-filtr konstruksiyasında Cypher injection zəifliyi aşkar edilmişdir. SearchFilters.node_labels vasitəsilə təmin edilən hücumçu tərəfindən idarə olunan etiket dəyərləri, heç bir yoxlama aparılmadan birbaşa Cypher etiket ifadələrinə birləşdirilmişdir. MCP tətbiqlərində bu, yalnız Graphiti MCP serverinə olan birbaşa etibarsız giriş vasitəsilə deyil, həm də hücumçu tərəfindən idarə olunan entity_types dəyərləri ilə search_nodes funksiyasını çağırmağa sövq edilmiş LLM klientinə qarşı prompt injection vasitəsilə istismar edilə bilərdi. MCP serveri entity_types dəyərlərini SearchFilters.node_labels-ə uyğunlaşdırırdı və onlar daha sonra zəiflik olan Cypher konstruksiya yoluna çatırdı. Təsirə məruz qalan backend-lərə Neo4j, FalkorDB və Neptune daxildir. Kuzu, sətir interpolasiyalı Cypher etiketləri əvəzinə parametrləşdirilmiş etiket idarəetməsindən istifadə etdiyi üçün etiket-inyeksiya probleminin təsiri altında qalmamışdır. Bu problem 0.28.2 versiyasında aradan qaldırılmışdır.