PT-2026-25057
CVE-2026-32247
·
تاريخ النشر
2026-03-12
·
تاريخ التحديث
2026-07-13
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Graphiti الأقدم من 0.28.2
الوصف
كان Graphiti، وهو إطار عمل لإنشاء واستعلام الرسوم البيانية للسياق الزمني لعوامل الذكاء الاصطناعي، يعاني من مشكلة حقن Cypher في بناء مرشحات البحث المشتركة للخلفيات غير التابعة لـ Kuzu. تم ربط قيم التسميات التي يتحكم فيها المهاجم، والمقدمة عبر
SearchFilters.node labels، مباشرةً في تعبيرات تسميات Cypher دون التحقق من صحتها. في عمليات نشر MCP، كان من الممكن استغلال هذه الثغرة من خلال الوصول المباشر غير الموثوق به إلى خادم Graphiti MCP ومن خلال حقن موجه ضد عميل LLM الذي يمكن حثه على استدعاء search nodes بقيم entity types التي يتحكم فيها المهاجم. كان خادم MCP يقوم بتعيين entity types إلى SearchFilters.node labels، والتي كانت تصل بعد ذلك إلى مسار بناء Cypher المعرض للخطر. وشملت الخلفيات المتأثرة Neo4j وFalkorDB وNeptune. لم يتأثر Kuzu لأنه كان يستخدم معالجة التسميات المعلمة. قد يسمح الاستغلال الناجح بتنفيذ Cypher تعسفيًا ضمن امتيازات اتصال قاعدة بيانات الرسم البياني المُهيأ، مما قد يتيح الوصول غير المصرح به إلى البيانات أو تعديلها أو حذفها، وتجاوز العزل المنطقي للمجموعات. تضمنت المشكلة أيضًا مشكلة منفصلة وأضيق نطاقًا في بناء استعلامات البحث عن النص الكامل لـ group ids غير المصادق عليها.التوصيات
الترقية إلى الإصدار 0.28.2 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾