CVE-2024-34517
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Komponent Cypher w Neo4j w wersjach 5.0.0 do 5.18 nieprawidłowo obsługuje uprawnienia IMMUTABLE w niektórych sytuacjach, gdy atakujący ma już dostęp administracyjny.
Ocena ryzyka
Ryzyko eskalacji uprawnień lub naruszenia integralności danych w środowisku Neo4j, jeśli atakujący ma już dostęp admina.
Rekomendacja
Zaktualizuj Neo4j do wersji nowszej niż 5.18, która zawiera poprawkę.
Inne podatności w Neo4j
Zobacz wszystkie- CVE-2026-14587Wysokie
Podatność w dekoderze nowoczesnego uzgadniania Bolt w Neo4j polega na traktowaniu zbyt długiej maski bitów możliwości tak samo jak maski skróconej. Nieuwierzytelniony klient może wysłać wybraną wersję protokołu z 32 bajtami kontynuacji, co powoduje zresetowanie indeksu czytnika i oczekiwanie na więcej bajtów zamiast odrzucenia wiadomości. Kanał pozostaje otwarty, co może być wykorzystane przed autoryzacją.
- CVE-2026-1337Średnie
Niewystarczające escapowanie znaków Unicode w dzienniku zapytań w Neo4j Enterprise i Community przed wersją 2026.01 może prowadzić do XSS, jeśli użytkownik otworzy logi w narzędziu traktującym je jako HTML. Nie ma wpływu na bezpieczeństwo produktów Neo4j, ale zalecenie jest wydane jako środek ostrożności, aby traktować logi jako zwykły tekst w wersjach przed 2026.01.
Oryginalny opis (angielski, źródło NVD)
The Cypher component in Neo4j 5.0.0 through 5.18 mishandles IMMUTABLE privileges in some situations where an attacker already has admin access.