CVE-2026-5423
Təsvir
@neo4j/graphql kitabxanasının 7.5.6-dan əvvəlki versiyaları GraphQL subscription connectionParams vasitəsilə ötürülən, müştəri tərəfindən təqdim edilmiş və əvvəlcədən dekodlanmış JWT obyektinin həqiqiliyini yoxlaya bilmir. Nəticədə, GraphQL-over-WebSocket bağlantısı aça bilən istənilən autentifikasiyadan keçməmiş uzaq müştəri connectionParams.jwt daxilində ixtiyari JWT iddialarını (məs. sub, roles) saxtalaşdıra və onların @authentication və @subscriptionsAuthorization direktivlərinin qiymətləndirilməsi məqsədləri üçün autentifikasiya olunmuş şəxsiyyət kimi qəbul edilməsinə nail ola bilər. Bu, tamamilə autentifikasiyadan keçməmiş hücumçuya yalnız müəyyən autentifikasiya olunmuş rollara/istifadəçilərə məhdudlaşdırılmalı olan subscription hadisələrini qəbul etməyə imkan verir. Kitabxananı 7.5.6+ və ya 5.12.14+ versiyalarına yeniləyin. v6 istismar müddətini başa vurub və düzəliş almayacaq.
Necə düzəltmək olar
- neo4j graphql7.5.6, 5.12.14 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| neo4j graphql | 7.0.0 ≤ v < 7.5.6, 5.0.0 ≤ v < 5.12.14, 6.0.0 ≤ v ≤ 6.6.4 | 7.5.6, 5.12.14 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.