- Son 7 gün
- CWE-116
- CWE-943
CVE-2026-114510
Flexible GraphRAG FalkorDB adaptöründe Cypher enjeksiyonu: kaçış hatası nedeniyle grafik verisi silinebilir
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Flexible GraphRAG, çoklu grafik, vektör ve arama arka uçlarında graf ve retrieval-augmented generation (RAG) uygulamaları geliştirmek için kullanılan bir Python çerçevesidir. 0.6.0 ile 0.8.2 arasındaki sürümlerde, flexible-graphrag/langchain/graph/pg_store_adapters/falkordb_adapter.py dosyasındaki _escape yardımcı fonksiyonu, tırnak işaretlerini ters eğik çizgilerden önce kaçırmakta ve sonucu FalkorDBAdapter.add_graph_documents tarafından oluşturulan Cypher sorgusuna doğrudan eklemektedir. Bu durum, eklenen bir kaçış karakterinin çiftlenmesine ve bir tırnak işaretinin dizeyi erken sonlandırmasına olanak tanımaktadır. GRAPH_BACKEND=langchain ve GRAPH_DB=falkordb olarak yapılandırıldığında, saldırgan etkisindeki içe aktarılmış doküman içeriği, çıkarım modelinin kötü amaçlı varlık veya ilişki değerleri üretmesine neden olabilir; bu değerler sorgulara ulaşarak enjekte edilen Cypher ifadelerinin graf verilerini değiştirmesine veya silmesine yol açabilir. Çağıran kod sorgu sonuçlarını kullanıcıya veya LLM'e sunduğunda ise graf verileri ifşa edilebilir. Dinamik düğüm ve ilişki tür tanımlayıcıları da güvenli parametreleştirme olmadan ters tırnaklı (backtick) sorgu konumlarına eklenmektedir. LlamaIndex FalkorDB deposu bu sorundan etkilenmemektedir. Sorun 0.8.2 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Flexible GraphRAG is a Python framework for building graph and retrieval-augmented generation applications across multiple graph, vector, and search backends. From 0.6.0 until 0.8.2, the _escape() helper in flexible-graphrag/langchain/graph/pg_store_adapters/falkordb_adapter.py escapes quotes before backslashes and then interpolates the result into Cypher assembled by FalkorDBAdapter.add_graph_documents, allowing an inserted escape to be doubled and a quote to terminate the string early. When GRAPH_BACKEND=langchain and GRAPH_DB=falkordb are configured, attacker-influenced ingested document content can cause the extraction model to produce malicious entity or relationship values that reach these queries, allowing injected Cypher clauses to modify or delete graph data and, when the calling code surfaces query results to the user or LLM, disclose graph data. Dynamic node and relationship type identifiers are also inserted into backtick-quoted query positions without safe parameterization. The LlamaIndex FalkorDB store is not affected. This issue is fixed in version 0.8.2.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| stevereiner flexible-graphrag | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.