CVE-2026-40087
Təsvir
LangChain agentlərin və LLM əsaslı tətbiqlərin qurulması üçün çərçivədir. 0.3.84 və 1.2.28 versiyalarından əvvəl LangChain-in f-string prompt-template validasiyası iki istiqamətdə natamam idi. Birincisi, bəzi prompt şablon sinifləri f-string şablonlarını qəbul edir və onları PromptTemplate ilə eyni atributa giriş validasiyasını tətbiq etmədən formatlayırdı. Xüsusilə, DictPromptTemplate və ImagePromptTemplate atributa giriş və ya indeksləşdirmə ifadələri olan şablonları qəbul edə bilirdi və sonradan formatlama zamanı həmin ifadələri qiymətləndirirdi. İkincisi, analiz edilmiş yuxarı səviyyəli sahə adlarına əsaslanan f-string validasiyası format spesifikatorlarının daxilindəki iç-içə əvəzləmə sahələrini rədd etmirdi. Bu modeldə iç-içə əvəzləmə sahəsi yuxarı səviyyəli sahə adında deyil, format spesifikatorunda görünür. Nəticədə, analiz edilmiş sahə adlarına əsaslanan əvvəlki validasiya şablonu rədd etmirdi, halbuki Python formatlaması iş vaxtı hələ də iç-içə ifadəni həll etməyə çalışırdı. Bu zəiflik 0.3.84 və 1.2.28 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- langchain langchain_core0.3.84, 1.2.28 və ya daha yeni versiya
- langchain-core0.3.84, 1.2.28 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| langchain langchain_core | v < 0.3.84, 1.0.0 ≤ v < 1.2.28 | 0.3.84, 1.2.28 |
| langchain-corePyPI | v < 0.3.84, 1.0.0a1 ≤ v < 1.2.28 | 0.3.84, 1.2.28 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.