Neo4j @neo4j/graphql: Fehlende Authentifizierungsprüfung bei Top-Level-@cypher-Feldern
Zusammenfassung
Schema-weite und typbezogene @authentication-Direktiven werden in @neo4j/graphql bis einschliesslich 7.6.3 bei Top-Level-Feldern mit @cypher stillschweigend ignoriert. Durchgesetzt werden nur Direktiven, die direkt auf den einzelnen Feldern platziert sind. Ein nicht authentifizierter Angreifer kann solche Felder über das Netzwerk aufrufen und die konfigurierte Cypher-Anweisung mit den Rechten des GraphQL-Dienstkontos ausführen, was das Lesen und Ändern von Daten ermöglichen kann. Betroffen sind nur Anwendungen, die für diese Felder auf schema- oder typbezogene Authentifizierung vertrauen.
Betroffen
- @neo4j/graphql ab 3.23.0 bis vor 7.6.4 (Angabe des CNA; Versionen vor 3.23.0 nicht geprüft, bis zur Bestätigung als betroffen behandeln)
- Nur Anwendungen, die Top-Level-@cypher-Felder bereitstellen und für deren Schutz auf schema- oder typbezogene @authentication-Direktiven vertrauen
Behoben in
- Aktualisierung von @neo4j/graphql auf Version 7.6.4 oder neuer (Fix-Commit ef69cc6)
Umgehung
- @authentication direkt auf jedes Top-Level-@cypher-Feld anwenden (Vorschlag eines Drittanbieters, nicht vom Hersteller; vorab in einer Testumgebung prüfen)
- Dienstkonto der GraphQL-Anwendung mit minimalen Datenbankberechtigungen betreiben
Ausnutzung
- CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung total
- Nicht im CISA-KEV-Katalog; zum Zeitpunkt der Recherche keine bekannte Ausnutzung
- Kein öffentlicher Proof-of-Concept gefunden; nicht vollständig verifiziert
- Der Fix wurde öffentlich entwickelt, die Schwachstelle war daher möglicherweise schon vor der Advisory in der Quellcode-Historie sichtbar
Unsere Empfehlung
- Alle Projekte mit @neo4j/graphql unterhalb von Version 7.6.4 identifizieren und auf 7.6.4 oder neuer aktualisieren
- Das Update behebt auch CVE-2026-92682 (invertierter "none"-Quantor in Autorisierungsfiltern), betroffen sind 7.0.0 bis 7.6.4
- Bis zum Update prüfen, ob der GraphQL-Endpunkt aus dem Internet erreichbar ist, und die Datenbankberechtigungen des Dienstkontos überprüfen
- Nach dem Update testen, ob schema- und typbezogene @authentication-Direktiven für Top-Level-@cypher-Felder greifen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-8xj4-8gg9-fx9h github.com
- Fix commit ef69cc6 github.com
- Release @neo4j/graphql 7.6.4 github.com
- OSV CVE-2026-92681 osv.dev
- OSV CVE-2026-92682 osv.dev
- Neo4j GraphQL authentication documentation neo4j.com
- npm package @neo4j/graphql www.npmjs.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.