CVE-2026-114510

Nome do Software Vulnerável e Versões Afetadas Flexible GraphRAG versões 0.6.0 até 0.8.1

Descrição O auxiliar escape() em flexible-graphrag/langchain/graph/pg store adapters/falkordb adapter.py escapa aspas incorretamente antes de barras invertidas. Isso permite que um escape inserido seja duplicado e que uma aspa termine a string prematuramente ao ser processada por FalkorDBAdapter.add graph documents. Quando GRAPH BACKEND está configurado como langchain e GRAPH DB como falkordb, conteúdo malicioso em documentos ingeridos pode levar à injeção de cláusulas Cypher. Isso pode permitir que um invasor modifique ou exclua dados do grafo ou divulgue informações sensíveis se os resultados forem retornados a um usuário ou Modelo de Linguagem Grande (LLM). Além disso, identificadores dinâmicos de tipo de nó e relacionamento são inseridos em posições de consulta delimitadas por crases sem a parametrização segura.

Recomendações Atualizar para a versão 0.8.2.