مستغلة: 178
الأحدثCVE-2026-115732 — تجاوز تفويض اسم الشهادة
VulnFeed.org
AREN
7.1
CVE-2026-114510تحقق من التصحيح

Flexible GraphRAG: حقن Cypher/Graph عبر الهروب المعيب للنصوص في محول FalkorDB (_escape()) - مسح كامل للرسم البياني من محتوى المستندات المُستوعبة

stevereiner flexible-graphragقراءة 1 داقرأ بلغة

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

Flexible GraphRAG هو إطار عمل بلغة Python بناء تطبيقات الرسم البياني والتوليد المعزز بالاسترجاع عبر خلفيات رسومية وناقلية وبحثية متعددة. من الإصدار 0.6.0 حتى 0.8.2، يقوم المساعد _escape() في flexible-graphrag/langchain/graph/pg_store_adapters/falkordb_adapter.py بالهروب من علامات التنصيص قبل الشرطة المائلة العكسية ثم يدمج النتيجة في استعلامات Cypher التي تجمعها FalkorDBAdapter.add_graph_documents، مما يسمح بمضاعفة الهروب المُدرج وإنهاء علامة التنصيص للنص مبكرًا. عند تكوين GRAPH_BACKEND=langchain وGRAPH_DB=falkordb، يمكن لمحتوى المستند المُستوعب المتأثر بالمهاجم أن يتسبب في قيام نموذج استخراج البيانات بإنشاء قيم كيانات أو علاقات خبيثة تصل إلى هذه الاستعلامات، مما يسمح لجمل Cypher المُحقنة بتعديل أو حذف بيانات الرسم البياني، وعندما تعرض الشفرة المستدعة نتائج الاستعلام للمستخدم أو نموذج اللغات الكبير، يتم الكشف عن بيانات الرسم البياني. كما يتم إدراج معرفات العقد وأنواع العلاقات الديناميكية في مواضع الاستعلام المحاطة بعلامات اقتباس عكسية دون تثبيت آمن للمتغيرات. لا يتأثر مخزن LlamaIndex FalkorDB. تم إصلاح هذه المشكلة في الإصدار 0.8.2.

المعالجة

المراجع

Esc