CVE-2026-44843
Təsvir
LangChain agentlərin və LLM əsaslı tətbiqlərin qurulması üçün çərçivədir. 0.3.85 və 1.3.3 versiyalarından əvvəl LangChain, həddindən artıq geniş obyekt icazə siyahılarından istifadə edərək iş girişlərini, iş çıxışlarını və ya digər tətbiq tərəfindən idarə olunan faylları (payloads) deserializasiya edən köhnə runtime kod yollarını ehtiva edir. Bu yollar `allowed_objects="all"` parametri ilə `load()` funksiyasını çağıra bilər. Bu, ixtiyari Python obyektinin deserializasiyasını təmin etmir, lakin hər hansı etibarlı LangChain-serializasiya edilə bilən obyektin bərpasını mümkün edir ki, bu da sözügedən runtime yollarının tələb etdiyindən daha genişdir. Nəticədə, hücumçu tərəfindən təqdim edilən LangChain serializasiya olunmuş konstruktor lüğətləri, etibarlı runtime yollarının etibarsız konstruktor arqumentləri ilə sinifləri instansiya etməsinə səbəb ola bilər. Bu zəiflik 0.3.85 və 1.3.3 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- langchain langchain0.3.85, 1.3.3 və ya daha yeni versiya
- langchain-core1.3.3, 0.3.85 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| langchain langchain | v < 0.3.85, 1.0.0 ≤ v < 1.3.3 | 0.3.85, 1.3.3 |
| langchain-corePyPI | 1.0.0 ≤ v < 1.3.3, v < 0.3.85 | 1.3.3, 0.3.85 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.