PT-2026-121404
CVE-2026-114510
·
تاريخ النشر
2026-10-22
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Flexible GraphRAG الإصدارات من 0.6.0 إلى 0.8.1
الوصف
يقوم المساعد
escape() في flexible-graphrag/langchain/graph/pg store adapters/falkordb adapter.py بمعالجة علامات الاقتباس بشكل خاطئ قبل الشرطات المائلة العكسية. يسمح هذا بمضاعفة الهروب المدرج وإنهاء السلسلة النصية مبكرًا بواسطة علامة اقتباس عند معالجتها بواسطة FalkorDBAdapter.add graph documents. عندما يتم تكوين GRAPH BACKEND على langchain و GRAPH DB على falkordb ، يمكن أن يؤدي المحتوى الخبيث في المستندات التي يتم استيعابها إلى حقن عبارات Cypher. قد يسمح ذلك للمهاجم بتعديل أو حذف بيانات الرسم البياني أو الكشف عن معلومات حساسة إذا تم عرض النتائج للمستخدم أو لنموذج لغوي كبير (LLM). بالإضافة إلى ذلك، يتم إدراج معرفات نوع العقدة والعلاقة الديناميكية في مواضع استعلام محاطة بعلامات backtick بدون تحديد معاملات آمن.التوصيات
التحديث إلى الإصدار 0.8.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾