CVE-2026-32247
Açıklama
Graphiti, AI ajanları için zamansal bağlam grafikleri oluşturmaya ve sorgulamaya yönelik bir çerçevedir. Graphiti'nin 0.28.2 öncesi sürümleri, Kuzu dışı arka uçlar için paylaşılan arama filtresi oluşturma sürecinde bir Cypher enjeksiyonu güvenlik açığı içeriyordu. SearchFilters.node_labels aracılığıyla sağlanan saldırgan kontrollü etiket değerleri, doğrulama yapılmadan doğrudan Cypher etiket ifadelerine birleştiriliyordu. MCP dağıtımlarında bu durum yalnızca Graphiti MCP sunucusuna doğrudan güvenilmeyen erişim yoluyla değil, aynı zamanda saldırgan kontrollü entity_types değerleriyle search_nodes çağrısı yapmaya yönlendirilebilen bir LLM istemcisine karşı istem enjeksiyonu yoluyla da sömürülebilirdi. MCP sunucusu entity_types değerlerini SearchFilters.node_labels'e eşliyordu ve bu değerler daha sonra güvenlik açığı içeren Cypher oluşturma yoluna ulaşıyordu. Etkilenen arka uçlar Neo4j, FalkorDB ve Neptune'ü içeriyordu. Kuzu, dize enterpolasyonlu Cypher etiketleri yerine parametreleştirilmiş etiket işleme kullandığı için etiket enjeksiyonu sorunundan etkilenmedi. Bu sorun 0.28.2 sürümünde giderildi.
Nasıl düzeltilir
- getzep graphiti0.28.2 ya da sonraki bir sürüm
- graphiti-core0.28.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getzep graphiti | v < 0.28.2 | 0.28.2 |
| graphiti-corePyPI | v < 0.28.2 | 0.28.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.