关键信息 漏洞描述: CVE-2026-1337 - Neo4j - Log Injection 漏洞类型: 日志注入 影响范围: - 当 Neo4j 没有配置为 JSON 格式时，认证用户可以在查询日志中注入日志。 漏洞原因: - Neo4j 在元数据字段中不转义控制字符，允许认证用户通过注入新的一行（ ）和控制字符来伪造日志条目。 示例代码: - 通过 Python 代码注入伪造的日志条目。 - - 可以是包含 和其他控制字符的字符串，例如： 漏洞影响: - 注入的日志条目虽然不能实际执行，但在日志中看起来是合法的，可能导致日志分析工具误读或产生混乱。 - 示范代码生成的 存在多个伪造的查询开始条目，混淆实际的日志内容。 POC (概念验证): - 提供一个 Python 脚本 ，通过传递 URI 和密码参数，注入伪造的日志条目到查询日志中。 潜在风险: - 除了伪造日志，未转义的漏洞也可能被利用来注入其他 payload，例如 XSS 脚本（对基于 Web 的日志分析应用有风险）或 ANSI 逃生字符（对终端日志交互有风险）。