CVE-2026-26019
Təsvir
LangChain LLM əsaslı tətbiqlər yaratmaq üçün çərçivədir. 1.1.14 versiyasından əvvəl @langchain/community paketindəki RecursiveUrlLoader sinfi, başlanğıc URL-dən linkləri rekursiv olaraq izləyən veb krolerdir. Onun preventOutside seçimi (defolt olaraq aktivdir), krollama prosesini baza URL ilə eyni saytla məhdudlaşdırmaq üçün nəzərdə tutulub. Implementasiyada URL-ləri müqayisə etmək üçün String.startsWith() metodundan istifadə edilmişdir ki, bu da semantik URL validasiyasını həyata keçirmir. Krollanan səhifədəki kontenti idarə edən hücumçu, hədəf ilə eyni simvol prefiksini paylaşan domenlərə linklər əlavə edə bilər və bu, krolerin hücumçu tərəfindən idarə olunan və ya daxili infrastruktur linklərini izləməsinə səbəb olar. Əlavə olaraq, kroler şəxsi və ya rezerv edilmiş IP ünvanlarına qarşı heç bir validasiya aparmamışdır. Krollanan səhifə bulud metadata xidmətlərini, localhost-u və ya RFC 1918 ünvanlarını hədəfləyən linklər ehtiva edə bilərdi və kroler onları heç bir məhdudiyyət olmadan götürərdi. Bu zəiflik 1.1.14 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- langchain langchain_community1.1.14 və ya daha yeni versiya
- @langchain/community1.1.14 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| langchain langchain_community | v < 1.1.14 | 1.1.14 |
| @langchain/communitynpm | v < 1.1.14 | 1.1.14 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.