CVE-2026-5423

Nome do Software Vulnerável e Versões Afetadas @neo4j/graphql versões anteriores a 7.5.6 @neo4j/graphql versões anteriores a 5.12.14

Description A biblioteca falha ao verificar a autenticidade de um objeto JSON Web Token (JWT) pré-decodificado fornecido por um cliente através do connectionParams de assinatura GraphQL. Um cliente remoto não autenticado que estabeleça uma conexão GraphQL-over-WebSocket pode forjar reivindicações (claims) arbitrárias de JWT, como sub e roles, dentro de connectionParams.jwt. Essas reivindicações forjadas são aceitas como uma identidade autenticada válida durante a avaliação das diretivas @authentication e @subscriptionsAuthorization, permitindo que um invasor receba eventos de assinatura que deveriam ser restritos a funções ou usuários específicos.

Recommendations Atualize para a versão 7.5.6 ou posterior. Atualize para a versão 5.12.14 ou posterior.