CVE-2026-1337

BaixoPublicado

Registo de consulta com escape insuficiente de caracteres unicode

Publicado: 6 de fev. de 2026
Atualizado: 6 de fev. de 2026
Atribuindo CNA: Neo4j
Evidência observada: 9 de ago. de 2026

CVSS primário

1,1/ 10Baixo

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Estimativa de probabilidade EPSS

0,2%

Baixo · próximos 30 dias

Percentil: 14,3%
Data do modelo: 21 de set. de 2026

EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.

Resumo

# Escapamento insuficiente de caracteres unicode no log de consultas nas edições Neo4j Enterprise e Community anteriores a 2026.01 pode levar a XSS se o usuário abrir os logs em uma ferramenta que os trate como HTML. Não há impacto de segurança nos produtos Neo4j, mas este aviso é divulgado como precaução para tratar os logs como texto simples se estiver usando versões anteriores a 2026.01. Prova de conceito do exploit: https://github.com/JoakimBulow/CVE-2026-1337

Fontes

CVE-2026-1337-AI-Coding-Assistant-Prompt-Injection-to-Sandbox-EscapeExploit
Uma injeção de prompt em um bot de revisão de código que executa correções geradas por IA em uma sandbox. A sandbox usa uma lista negra para impedir comandos perigosos, mas um payload poliglota contorna o filtro e alcança a execução remota de código.
CVE-2026-1337PoC
CVE-2026-1337 - Neo4j - Injeção de Log

Uso responsável

Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.