Veille sécuritéBackend & données
P3Élevée
Dans `@neo4j/graphql`, certaines requêtes d’agrégation ne respectent pas les restrictions d’authentification et peuvent divulguer des données protégées à des appelants non authentifiés. Les branches 5.x avant 5.12.17 et 7.x avant 7.6.8 sont concernées ; appliquer la mise à jour correspondante.
GraphQL
IdentifiantCVE-2026-92684
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif5.12.17 et 7.6.8
Source : NVD — CVE-2026-92684
Analyse technique
L’authentification au niveau des champs n’est pas appliquée aux agrégats de chaînes ; des agrégats à la racine d’une connexion peuvent également contourner l’exigence d’authentification `AGGREGATE`.
Impact, versions et correctif
Événement datéNouvelle fiche NVD publiée le 2026-11-10, dans la période demandée ; l’avis GitHub du projet Neo4j décrit également cette vulnérabilité GraphQL.
ImpactDivulgation potentielle de données protégées par des requêtes d’agrégation GraphQL.
Versions affectées@neo4j/graphql 5.0.0 à < 5.12.17 et 7.0.0 à < 7.6.8
Version corrigée5.12.17 et 7.6.8
ContournementEn attendant la mise à jour, restreindre l’accès aux requêtes d’agrégation portant sur des données protégées.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-11-10T17:17:50.150Z
Mise à jour2026-11-10T17:17:50.150Z
Action recommandée
Mettre à jour `@neo4j/graphql` vers 5.12.17 ou 7.6.8, selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).