CVE-2026-1337

NiedrigVeröffentlicht

Unzureichendes Escaping von Unicode-Zeichen im Abfrageprotokoll

Veröffentlicht: 06.02.2026
Aktualisiert: 06.02.2026
CNA zuweisen: Neo4j
Beweise beobachtet: 09.08.2026

Primäres CVSS

1,1/ 10Niedrig

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

EPSS-Wahrscheinlichkeitsschätzung

0,2 %

Niedrig · nächste 30 Tage

Perzentil: 14,3 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

Unzureichendes Escaping von Unicode-Zeichen im Abfrageprotokoll in Neo4j Enterprise- und Community-Editionen vor 2026.01 kann zu XSS führen, wenn der Benutzer die Protokolle in einem Tool öffnet, das sie als HTML behandelt. Es gibt keine Sicherheitsauswirkung auf Neo4j-Produkte, aber dieses Advisory wird als Vorsichtsmaßnahme veröffentlicht, um die Protokolle als Klartext zu behandeln, wenn Versionen vor 2026.01 verwendet werden. Proof-of-Concept-Exploit: https://github.com/JoakimBulow/CVE-2026-1337

Quellen

CVE-2026-1337-AI-Coding-Assistant-Prompt-Injection-to-Sandbox-EscapeExploit
Eine Prompt-Injection in einem Code-Review-Bot, der KI-generierte Fixes in einer Sandbox ausführt. Die Sandbox verwendet eine Blacklist, um gefährliche Befehle zu verhindern, doch ein Polyglot-Payload umgeht den Filter und erreicht Remote Code Execution.
CVE-2026-1337PoC
CVE-2026-1337 - Neo4j - Log-Injection

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.