CVE-2026-5423
Publiée le 2026-08-06 · Dernière modification le 2026-10-24
Les applications utilisant la bibliothèque `@neo4j/graphql` sont vulnérables à un contournement de l'authentification lors de l'utilisation des abonnements GraphQL. Un attaquant distant non authentifié peut falsifier des revendications d'identité (telles que les rôles d'utilisateur) via une connexion WebSocket pour accéder à des événements d'abonnement restreints auxquels il n'est pas autorisé. Cette opération est relativement facile à exécuter car elle ne nécessite ni identifiants préalables ni interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
@neo4j/graphql library versions prior to 7.5.6 fail to verify the authenticity of a client-supplied, pre-decoded JWT object passed through GraphQL subscription connectionParams. As a result, any unauthenticated remote client that can open a GraphQL-over-WebSocket connection can forge arbitrary JWT claims (e.g. sub, roles) in connectionParams.jwt and have them accepted as authenticated identity for the purposes of @authentication and @subscriptionsAuthorization directive evaluation. This allows a fully unauthenticated attacker to receive subscription events that should be restricted to specific authenticated roles/users. Upgrade the library to versions 7.5.6+ or 5.12.14+. v6 is end-of-life and will not receive a fix.