CVE-2026-1497

WysokieCVSS 7.2

Opublikowano: 11/03/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

W wersjach Neo4j Enterprise przed 2026.02 i 5.26.22 występuje błąd w rozwiązywaniu przestrzeni nazw w bazach danych kompozytowych. Administratorzy mogą przypadkowo przyznać dostęp do lokalnych baz danych lub zdalnych aliasów o nazwie 'name', co prowadzi do niezamierzonych uprawnień.

Ocena ryzyka

Organizacje mogą być narażone na nieautoryzowany dostęp do danych, co może prowadzić do wycieku informacji lub naruszenia prywatności. Potencjalne zagrożenie wzrasta, gdy nowe bazy danych lub aliasy są tworzone po przyznaniu uprawnień.

Rekomendacja

Zaleca się aktualizację do najnowszej wersji Neo4j Enterprise, aby usunąć tę podatność. Dodatkowo, administratorzy powinni dokładnie sprawdzać przyznawane uprawnienia i unikać używania ogólnych nazw przestrzeni.

Inne podatności w Neo4j Enterprise

CVE-2026-1524Krytyczne
W wersjach Neo4j Enterprise przed 2026.02 występuje problem z implementacją SSO, który może prowadzić do nieautoryzowanego dostępu. Dotyczy to sytuacji, gdy administrator skonfiguruje wiele dostawców OIDC, z których niektórzy są tylko do uwierzytelniania, ale mogą również zapewniać autoryzację.

Oryginalny opis (angielski, źródło NVD)

Incorrect resolving of namespaces in composite databases in Neo4j Enterprise edition prior to versions 2026.02 and 5.26.22 can lead to the following scenario: an admin that intends to give a user an access to a remote database constituent "namespace.name" will inadvertently grant access to any local database or remote alias called "name". If such database or alias doesn't exist when the command is run, the privileges will apply if it's created in the future.