CVE-2026-1524: 授权绕过漏洞在 Neo4j Enterprise Edition

攻击者可以利用此漏洞绕过授权机制，获得对 Neo4j 数据库的未经授权访问。如果攻击者能够利用此漏洞，他们可能能够读取、修改或删除数据库中的敏感数据，甚至可能完全控制 Neo4j 实例。由于 Neo4j 通常用于存储关键业务数据，因此此漏洞的潜在影响非常严重。攻击者可能窃取用户凭据、商业机密或敏感的客户信息。此外，攻击者还可能利用此漏洞进行横向移动，访问与 Neo4j 实例共享网络的其他系统。

Organizations utilizing Neo4j Enterprise Edition with SSO enabled and multiple OIDC providers configured are at risk. Specifically, deployments with authentication-only OIDC providers containing groups with elevated privileges are particularly vulnerable. Legacy configurations and environments with limited security oversight are also at increased risk.

1. 2026-03-11Disclosure

   disclosure

1. 已保留2026-01-28
2. 发布日期2026-03-11
3. 修改日期2026-03-12
4. EPSS 更新日期2026-03-23

为了缓解 CVE-2026-1524 的风险，建议立即升级到 Neo4j Enterprise Edition 2026.02 或更高版本。如果无法立即升级，可以尝试以下临时缓解措施：避免配置多个 OIDC 提供商，或者确保所有 OIDC 提供商都配置为身份验证和授权提供商。此外，可以审查 Neo4j 的访问控制策略，确保只有授权用户才能访问敏感数据。监控 Neo4j 日志，查找任何异常活动，并实施适当的网络安全措施，例如防火墙和入侵检测系统。