CVE-2026-19869

Nome do Software Vulnerável e Versões Afetadas @neo4j/graphql versões 5.2.0 até as versões corrigidas

Descrição Existe um problema onde as regras de @authentication em nível de campo em campos de resolvedores personalizados de raiz não são aplicadas quando uma regra de @authentication em nível de tipo também está presente no mesmo tipo de operação. Em cenários onde tanto uma regra de nível de tipo (em Query ou Mutation) quanto uma regra de nível de campo (em um campo de resolvedor personalizado de raiz dentro desse tipo) são declaradas, o sistema avalia apenas a regra de nível de tipo e descarta silenciosamente a regra de nível de campo. Isso permite que clientes que satisfaçam o requisito mais amplo de nível de tipo acessem campos restritos, ignorando requisitos mais rigorosos por campo, como reivindicações de função de administrador em JWT (ex: jwt: { roles INCLUDES: "admin" }). Isso ocorre mesmo com tokens de não-administrador legitimamente emitidos e assinados.

Recomendações Atualize o @neo4j/graphql para a versão corrigida.