何が起きたか
Langroid の Neo4jChatAgent は、LLM 生成サイファー クエリを検証なし、ステートメント タイプの許可リストなし、およびオプト アウト ゲートなしで Neo4j ドライバーに直接渡します。クエリ テキストはプロンプト インジェクション (直接ユーザー入力またはRAG を通じた間接) によって影響を受ける可能性があるため、プロンプトに影響を与えることができる攻撃者は、すべてのグラフ データを読み取るまたは破棄でき、APOC または dbms.security プロシージャが有効になっている場合は Neo4j サーバーで OS コマンドおよびファイルシステム アクセスを達成できます。これは、バージョン 0.63 で以前に修正された SQLChatAgent プロンプト to SQL to RCE 問題 (CVE-2026-50180) と同じ欠陥クラスです。
なぜ重要か
これは、既知の安全でないコード生成パターン (プロンプト to クエリ to RCE) を SQL からグラフ データベースに拡張し、チャット/RAG 用に Neo4j を統合するすべての Langroid デプロイは、プロンプト インジェクション経由の完全なグラフ破棄に公開されることを意味し、Neo4j 構成に応じてホスト レベルの RCE へのパスがある高重大度で広く適用可能なエージェント フレームワークの欠陥です。
攻撃経路
プロンプト インジェクションにより、LLM は Neo4j ドライバーに検証なしで渡される悪意のあるサイファー クエリを生成し、データ破棄を可能にし、APOC/dbms.security が有効な場合は OS コマンド実行を可能にします。
影響を受けるシステム
Langroid (pip パッケージ) Neo4jChatAgent < 0.65.5
緩和策
Langroid ≥0.65.5 にアップグレードします。本番環境の Neo4j インスタンスで APOC/dbms.security プロシージャを無効にします (チャット エージェントで使用)。