Flexible GraphRAG — injection Cypher via le backend FalkorDB

Veille sécuritéBackend & données

P3Élevée

Flexible GraphRAG permet une injection Cypher lorsque des contenus influencés par un attaquant sont ingérés avec le backend FalkorDB concerné. Selon l’usage de l’application, un attaquant peut modifier ou supprimer des données du graphe et, dans certains cas, en divulguer; la correction est indiquée en version 0.8.2.

IdentifiantCVE-2026-114510

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif0.8.2

Source : NVD — CVE-2026-114510

Analyse technique

Dans la configuration GRAPH_BACKEND=langchain et GRAPH_DB=falkordb, l’échappement incorrect des chaînes et l’insertion d’identifiants de types dans les requêtes peuvent permettre l’injection. Le magasin FalkorDB de LlamaIndex n’est pas concerné selon la source.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-22T15:17:05.500Z, pendant la période. Cet événement de publication de vulnérabilité nouvelle est retenu; la mise à jour à 17:29:28.470Z apporte aussi des détails substantiels.

ImpactModification ou suppression de données du graphe et divulgation possible selon le traitement des résultats.

Versions affectéesFlexible GraphRAG 0.6.0 à versions antérieures à 0.8.2

Version corrigée0.8.2

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.1

Publication2026-10-22T15:17:05.500Z

Mise à jour2026-10-22T17:29:28.470Z

Action recommandée

Mettre à niveau Flexible GraphRAG vers la version 0.8.2 ou ultérieure; vérifier les déploiements utilisant simultanément le backend LangChain et FalkorDB.

Sources

NVD — CVE-2026-114510

Priorisation DFS : P3 · 1 source(s).