IA Squad
BuscarEN
js · neotomaAtenção

Neotoma v0.13.0: Falta de filtro por usuário nos endpoints /list_relationships e /retrieve_graph_neighborhood

Os endpoints /list_relationships e /retrieve_graph_neighborhood no Neotoma v0.

26 Jun 2026Leitura 1 minSeveridade: agende este mês

O que mudou

Os endpoints /list_relationships e /retrieve_graph_neighborhood no Neotoma v0.13.0 não filtram consultas Supabase pelo ID do usuário autenticado, permitindo que um usuário autenticado acesse dados de relacionamento e vizinhança de grafo de outro usuário se souber o ID da entidade alvo.

Quem isso afeta

Todas as instâncias do Neotoma com múltiplas contas de usuário (v0.13.0). Atualmente não há implantações multi-tenant, mas a severidade aumenta quando múltiplos usuários compartilham uma instância.

O que fazer hoje

Aplique a correção: adicione `.eq("user_id", userId)` às consultas Supabase em ambos os handlers, valide IDs de entidade com `isNeotomaEntityId` e substitua interpolação de string em `.or()` por chamadas `.eq()` separadas.

A esteira
Coletado Auditado Redigido Publicado