CVE-2024-34517
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Komponent Cypher w Neo4j w wersjach 5.0.0 do 5.18 nieprawidłowo obsługuje uprawnienia IMMUTABLE w niektórych sytuacjach, gdy atakujący ma już dostęp administracyjny.
Ocena ryzyka
Ryzyko eskalacji uprawnień lub naruszenia integralności danych w środowisku Neo4j, jeśli atakujący ma już dostęp admina.
Rekomendacja
Zaktualizuj Neo4j do wersji nowszej niż 5.18, która zawiera poprawkę.
Inne podatności w Neo4j
Zobacz wszystkie- CVE-2026-14587Wysokie
Podatność w dekoderze nowoczesnego uzgadniania Bolt w Neo4j polega na traktowaniu zbyt długiej maski bitów możliwości tak samo jak maski skróconej. Nieuwierzytelniony klient może wysłać wybraną wersję protokołu z 32 bajtami kontynuacji, co powoduje zresetowanie indeksu czytnika i oczekiwanie na więcej bajtów zamiast odrzucenia wiadomości. Kanał pozostaje otwarty, co może być wykorzystane przed autoryzacją.
- CVE-2026-1337Średnie
Niewystarczające escapowanie znaków Unicode w dzienniku zapytań w Neo4j Enterprise i Community przed wersją 2026.01 może prowadzić do XSS, jeśli użytkownik otworzy logi w narzędziu traktującym je jako HTML. Nie ma wpływu na bezpieczeństwo produktów Neo4j, ale zalecenie jest wydane jako środek ostrożności, aby traktować logi jako zwykły tekst w wersjach przed 2026.01.
Oryginalny opis (angielski, źródło NVD)
The Cypher component in Neo4j 5.0.0 through 5.18 mishandles IMMUTABLE privileges in some situations where an attacker already has admin access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS