CVE-2026-1337
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Niewystarczające escapowanie znaków Unicode w dzienniku zapytań w Neo4j Enterprise i Community przed wersją 2026.01 może prowadzić do XSS, jeśli użytkownik otworzy logi w narzędziu traktującym je jako HTML. Nie ma wpływu na bezpieczeństwo produktów Neo4j, ale zalecenie jest wydane jako środek ostrożności, aby traktować logi jako zwykły tekst w wersjach przed 2026.01.
Ocena ryzyka
Ryzyko ataku XSS na użytkownika, który otworzy logi w przeglądarce lub narzędziu interpretującym HTML, co może prowadzić do wykonania złośliwego skryptu.
Rekomendacja
Zaktualizuj Neo4j do wersji 2026.01 lub nowszej. Jeśli nie jest to możliwe, traktuj logi jako zwykły tekst i nie otwieraj ich w narzędziach interpretujących HTML.
Inne podatności w Neo4j
Zobacz wszystkie- CVE-2026-14587Wysokie
Podatność w dekoderze nowoczesnego uzgadniania Bolt w Neo4j polega na traktowaniu zbyt długiej maski bitów możliwości tak samo jak maski skróconej. Nieuwierzytelniony klient może wysłać wybraną wersję protokołu z 32 bajtami kontynuacji, co powoduje zresetowanie indeksu czytnika i oczekiwanie na więcej bajtów zamiast odrzucenia wiadomości. Kanał pozostaje otwarty, co może być wykorzystane przed autoryzacją.
- CVE-2024-34517Średnie
Komponent Cypher w Neo4j w wersjach 5.0.0 do 5.18 nieprawidłowo obsługuje uprawnienia IMMUTABLE w niektórych sytuacjach, gdy atakujący ma już dostęp administracyjny.
Oryginalny opis (angielski, źródło NVD)
Insufficient escaping of unicode characters in query log in Neo4j Enterprise and Community editions prior to 2026.01 can lead to XSS if the user opens the logs in a tool that treats them as HTML. There is no security impact on Neo4j products, but this advisory is released as a precaution to treat the logs as plain text if using versions prior to 2026.01. Proof of concept exploit: https://github.com/JoakimBulow/CVE-2026-1337