CVE-2026-19869

@neo4j/graphql 5.2.0 sürümünden yamalı sürümlere kadar, aynı işlem türünde tür düzeyinde bir @authentication kuralı da mevcutken kök custom-resolver alanlarında alan düzeyindeki @authentication kurallarını uygulamakta başarısız olur. Hem tür düzeyinde bir @authentication (Query/Mutation üzerinde) hem de alan düzeyinde bir @authentication (o tür içindeki bir kök custom-resolver alanında) tanımlandığında, yalnızca tür düzeyindeki kural değerlendirilir ve alan düzeyindeki kural sessizce göz ardı edilir. Sonuç olarak, admin rolü JWT talebi (jwt: { roles_INCLUDES: "admin" }) gibi daha katı bir alan başına gereksinim hiçbir zaman denetlenmez ve daha kaba tür düzeyindeki gereksinimi karşılayan herhangi bir istemci, daha kısıtlı alanı çağırabilir. Token sahteciliği söz konusu değildir: meşru olarak verilmiş, doğru imzalanmış, admin olmayan bir token (ör. roles: ["user"]) yeterlidir.