CVE-2026-34070

Yüksək

Təsvir

LangChain agentlərin və LLM əsaslı tətbiqlərin qurulması üçün çərçivədir. Versiya 1.2.22-dən əvvəl, langchain_core.prompts.loading modulundakı çox sayda funksiya, deserializasiya edilmiş konfiqurasiya lüğətlərində yerləşmiş yollardan faylları oxuyarkən kataloq keçidi (directory traversal) və ya mütləq yol inyeksiyasına qarşı yoxlama aparmırdı. Tətbiq istifadəçi tərəfindən təsir edilə bilən prompt konfiqurasiyalarını load_prompt() və ya load_prompt_from_config() funksiyalarına ötürdükdə, hücumçu yalnız fayl genişlənməsi yoxlamaları ilə (.txt şablonlar üçün, .json/.yaml nümunələr üçün) məhdudlaşdırılaraq ev sahibinin fayl sistemindəki ixtiyari faylları oxuya bilər. Bu problem versiya 1.2.22-də aradan qaldırılmışdır.

CiddilikYüksək

CVSS7.5

İstismar ehtimalı—

MəhsulLangchain Core

Dərc31 mar 2026

İlk görülmə31 mar 2026

Zəiflik növüCWE-22Kataloq keçidi (path traversal)

Necə düzəltmək olar

Yeniləyin

langchain langchain_core1.2.22 və ya daha yeni versiya
langchain-core1.2.22 və ya daha yeni versiya

İstehsalçı bildirişləri

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
langchain langchain_core	v < 1.2.22	1.2.22
langchain-corePyPI	v < 1.2.22	1.2.22

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.