CVE-2026-25528

LangSmith Client SDK-ları LangSmith platforması ilə qarşılıqlı əlaqə üçün SDK-lar təmin edir. LangSmith SDK-larının paylanmış izləmə (distributed tracing) funksiyası zərərli HTTP başlıqları vasitəsilə Server-Side Request Forgery (SSRF) boşluğuna malikdir. Hücumçu baggage başlığı vasitəsilə ixtiyari api_url dəyərləri yerləşdirərək, SDK-nın həssas izləmə məlumatlarını hücumçunun nəzarətində olan son nöqtələrə sızdırmasına səbəb ola bilər. Paylanmış izləmədən istifadə edildikdə, SDK daxil olan HTTP başlıqlarını Python-da RunTree.from_headers(), TypeScript-də isə RunTree.fromHeaders() vasitəsilə analiz edir. Baggage başlığı api_url və api_key sahələri daxil olmaqla replika konfiqurasiyalarını ehtiva edə bilər. Düzəlişdən əvvəl bu hücumçu tərəfindən idarə olunan dəyərlər yoxlanılmadan qəbul edilirdi. İzlənən əməliyyat tamamlandıqda, SDK-nın post() və patch() metodları iş məlumatlarını bütün konfiqurasiya edilmiş replika URL-lərinə, o cümlədən hücumçu tərəfindən yerləşdirilmiş ünvanlara göndərir. Bu boşluq Python SDK-nın 0.6.3 versiyasında və JavaScript SDK-nın 0.4.6 versiyasında aradan qaldırılmışdır.