CVE-2026-92682

@neo4j/graphql 7.0.0 ile 7.6.4 arasındaki sürümlerde, ilişkiler ve bağlantılar üzerindeki @authorization filtrelerinde yer alan none nicelleyicisi Cypher diline çevrildiğinde olumsuzlanmamaktadır, bu nedenle some gibi davranmaktadır. Dolayısıyla, "ilişkili engellenmiş kullanıcılardan hiçbiri JWT öznesiyle eşleşmemeli" şeklindeki bir kural, tam olarak hariç tutulması gereken kayıtları döndürmekte ve döndürülmesi gerekenleri hariç tutmaktadır. Böyle bir kuralın erişimi engellemesi gereken kimliği doğrulanmış bir kullanıcı, korunan kayıtları okuyabilmektedir. Bu durum mutasyonlar için de geçerlidir; böylece etkilenen sonuç, hassas verilerin typedefs uyarınca erişim yetkisi olmayan kullanıcılar tarafından oluşturulabilmesi veya silinebilmesidir. 7.6.4 sürümünde düzeltilmiştir.