PT-2026-68621
CVE-2026-5423
·
تاريخ النشر
2026-08-06
·
تاريخ التحديث
2026-08-06
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات @neo4j/graphql الأقدم من 7.5.6
إصدارات @neo4j/graphql الأقدم من 5.12.14
الوصف
تفشل المكتبة في التحقق من صحة كائن JSON Web Token (JWT) الذي تم فك تشفيره مسبقًا، والذي يقدمه العميل عبر معلمة
connectionParams في اشتراك GraphQL. يمكن لعميل بعيد غير مصدق عليه يقوم بإنشاء اتصال GraphQL عبر WebSocket تزوير مطالبات JWT تعسفية، مثل sub وroles، داخل connectionParams.jwt. يتم قبول هذه المطالبات المزورة كهوية مصدق عليها صالحة أثناء تقييم توجيهات @authentication و@subscriptionsAuthorization، مما يسمح للمهاجم بتلقي أحداث الاشتراك المخصصة للأدوار أو المستخدمين المقيدين.التوصيات
التحديث إلى الإصدار 7.5.6 أو أحدث.
التحديث إلى الإصدار 5.12.14 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾