CVE-2026-41182
Təsvir
LangSmith Client SDK-ları LangSmith platforması ilə qarşılıqlı əlaqə üçün SDK-lar təmin edir. JavaScript SDK-nın 0.5.19 versiyasından və Python SDK-nın 0.7.31 versiyasından əvvəl, LangSmith SDK-larının çıxışların gizlədilməsi idarəetmələri (JS-də hideOutputs, Python-da hide_outputs) axınlı token hadisələrinə tətbiq edilmir. LLM işi axınlı çıxış yaratdıqda, hər bir hissəçə xam token dəyərini ehtiva edən new_token hadisəsi kimi qeyd edilir. Bu hadisələr gizlətmə konveyerini tamamilə yan keçir — prepareRunCreateOrUpdateInputs (JS) və _hide_run_outputs (Python) yalnız iş üzərindəki inputs və outputs sahələrini emal edir, events massivini heç vaxt emal etmir. Nəticədə, həssas LLM çıxışlarının LangSmith-də saxlanılmasının qarşısını almaq üçün çıxışların gizlədilməsinə güvənən tətbiqlər, tam axınlı məzmunu hələ də iş hadisələri vasitəsilə sızdıracaq. JavaScript SDK-nın 0.5.19 versiyası və Python SDK-nın 0.7.31 versiyası bu problemi aradan qaldırır.
Necə düzəltmək olar
- langsmith0.5.19, 0.7.31 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| langsmithnpm | v < 0.5.19, v < 0.7.31 | 0.5.19, 0.7.31 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.