Neotoma v0.13.0: Falta de filtro por usuário nos endpoints /list_relationships e /retrieve_graph_neighborhood
Os endpoints /list_relationships e /retrieve_graph_neighborhood no Neotoma v0.
O que mudou
Os endpoints /list_relationships e /retrieve_graph_neighborhood no Neotoma v0.13.0 não filtram consultas Supabase pelo ID do usuário autenticado, permitindo que um usuário autenticado acesse dados de relacionamento e vizinhança de grafo de outro usuário se souber o ID da entidade alvo.
Quem isso afeta
Todas as instâncias do Neotoma com múltiplas contas de usuário (v0.13.0). Atualmente não há implantações multi-tenant, mas a severidade aumenta quando múltiplos usuários compartilham uma instância.
O que fazer hoje
Aplique a correção: adicione `.eq("user_id", userId)` às consultas Supabase em ambos os handlers, valide IDs de entidade com `isNeotomaEntityId` e substitua interpolação de string em `.or()` por chamadas `.eq()` separadas.