Veille sécuritéBackend & données
P3Élevée
Dans @neo4j/graphql de 7.0.0 à toute version antérieure à 7.6.4, le quantificateur none des filtres @authorization de relations et connexions était traduit sans négation et se comportait comme some. Des utilisateurs authentifiés visés par une règle de refus pouvaient accéder à des données protégées et, selon les mutations concernées, créer ou supprimer des données; installer 7.6.4 ou ultérieure.
GraphQL
IdentifiantCVE-2026-92682
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif7.6.4
Source : CVE-2026-92682 — NVD
Analyse technique
Le défaut inverse la logique d’autorisation du quantificateur none lors de la traduction en Cypher.
Impact, versions et correctif
Événement datéAvis de sécurité Neo4j et publication NVD datés du 2026-10-12.
ImpactAccès non autorisé à des données et possibilité d’opérations de mutation contraires aux règles d’autorisation.
Versions affectées@neo4j/graphql de 7.0.0 à toute version antérieure à 7.6.4
Version corrigée7.6.4
ContournementÉviter le quantificateur none dans les filtres @authorization de relations et connexions jusqu’à la mise à niveau; tester les règles de remplacement pour les cas autorisés et refusés.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.6 · CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Publication2026-10-12T16:17:07.480Z
Mise à jour2026-10-12T16:17:07.480Z
Action recommandée
Mettre à niveau @neo4j/graphql vers 7.6.4 ou ultérieure; en attendant, éviter none dans les filtres concernés et vérifier les autorisations.
Sources
Priorisation DFS : P3 · 1 source(s).