Veille sécuritéBackend & données
P3Critique
Dans @neo4j/graphql jusqu’à la version 7.6.3, les directives @authentication au niveau du schéma ou des types Query/Mutation ne protégeaient pas les champs de premier niveau annotés @cypher. Un appelant non authentifié pouvait ainsi exécuter la requête Cypher avec les privilèges du compte de service; mettre à niveau vers 7.6.4 ou ultérieure.
GraphQL
IdentifiantCVE-2026-92681
GravitéCritique
Exploitationnon connue / non déterminée
Correctif7.6.4
Source : CVE-2026-92681 — NVD
Analyse technique
Les directives d’authentification doivent être appliquées directement aux champs concernés si la mise à niveau n’est pas immédiate.
Impact, versions et correctif
Événement datéNouvel avis Neo4j daté du 2026-10-12; la publication NVD fournie est également datée du 2026-10-12.
ImpactExécution non autorisée de requêtes Cypher pouvant permettre la lecture ou la modification de données.
Versions affectées@neo4j/graphql jusqu’à 7.6.3 inclus
Version corrigée7.6.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-10-12T16:17:07.323Z
Mise à jour2026-10-12T16:17:07.323Z
Action recommandée
Mettre à niveau @neo4j/graphql vers 7.6.4 ou ultérieure; vérifier les champs @cypher et leur contrôle d’accès.
Sources
Priorisation DFS : P3 · 1 source(s).