Neo4j @neo4j/graphql: Unzureichende Autorisierung durch invertierten none-Quantifier
Zusammenfassung
In @neo4j/graphql ab 7.0.0 bis vor 7.6.4 wird der none-Quantifier in @authorization-Filtern für Beziehungen und Connections im generierten Cypher nicht negiert, sodass er wie some wirkt. Ein authentifizierter Benutzer mit niedrigen Rechten, den eine Regel eigentlich sperren soll, kann geschützte Datensätze lesen und laut der verlinkten Herstellerbeschreibung auch Datensätze erstellen und löschen, auf die er keinen Zugriff haben sollte. Betroffen sind nur Anwendungen, die diese Bibliothek mit solchen none-basierten Regeln verwenden.
Betroffen
- @neo4j/graphql ab 7.0.0 bis vor 7.6.4
Behoben in
- Aktualisierung von @neo4j/graphql auf Version 7.6.4 oder neuer
Umgehung
- Den none-Quantifier in @authorization-Filtern für Beziehungen und Connections bis zur Aktualisierung vermeiden.
- Ersatzregeln mit Tests prüfen, die sowohl gesperrte als auch berechtigte Benutzer abdecken.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden.
- Öffentlicher Proof of Concept: unbekannt.
Unsere Empfehlung
- Eigene Anwendungen ermitteln, die @neo4j/graphql verwenden, und deren Versionen prüfen.
- Betroffene Installationen auf 7.6.4 oder neuer aktualisieren; dies behebt auch CVE-2026-92681.
- @authorization-Regeln mit none auf Beziehungen oder Connections prüfen und mit gesperrten und berechtigten Benutzern testen.
- Zugriffsprotokolle auf unerwartete Lese- oder Schreibzugriffe auf die betroffenen Typen prüfen.
- Kontoerstellung einschränken und sicherstellen, dass Sperren dort greifen, wo sie vorgesehen sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-h873-p2wr-fjx6 github.com
- Fix commit 17650cc github.com
- Release @neo4j/graphql 7.6.4 github.com
- OSV CVE-2026-92682 osv.dev
- npm package @neo4j/graphql www.npmjs.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.