CVE-2026-1337

BassoPubblicato

Escaping insufficiente dei caratteri unicode nel log delle query

Pubblicato: 6 feb 2026
Aggiornato: 6 feb 2026
Assegnazione CNA: Neo4j
Evidenza osservata: 9 ago 2026

CVSS primario

1,1/ 10Basso

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Stima della probabilità EPSS

0,2%

Basso · prossimi 30 giorni

Percentile: 15,1%
Data del modello: 15 ott 2026

L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.

Riepilogo

# Escaping insufficiente dei caratteri unicode nel log delle query in Neo4j Enterprise e Community precedenti alla 2026.01 L'escaping insufficiente dei caratteri unicode nel log delle query nelle edizioni Neo4j Enterprise e Community precedenti alla 2026.01 può portare a XSS se l'utente apre i log in uno strumento che li tratta come HTML. Non c'è alcun impatto sulla sicurezza dei prodotti Neo4j, ma questo advisory viene rilasciato come precauzione per trattare i log come testo semplice se si utilizzano versioni precedenti alla 2026.01. Proof of concept exploit: https://github.com/JoakimBulow/CVE-2026-1337

Fonti

CVE-2026-1337-AI-Coding-Assistant-Prompt-Injection-to-Sandbox-EscapeExploit
Un'iniezione di prompt in un bot di revisione del codice che esegue correzioni generate dall'IA in una sandbox. La sandbox utilizza una blacklist per prevenire comandi pericolosi, ma un payload poliglotta bypassa il filtro e ottiene l'esecuzione remota di codice.
CVE-2026-1337PoC
CVE-2026-1337 - Neo4j - Log Injection

Utilizzo responsabile

Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.