CVE-2026-48121

@langchain/langgraph-checkpoint-mongodb, saxlama üçün MongoDB-dən istifadə edən LangGraph.js CheckpointSaver implementasiyasını təmin edir. 1.3.0 və daha aşağı versiyalar NoSQL inyeksiyasına qarşı həssasdır: config.configurable-dan gələn checkpoint identifikatorları (thread_id, checkpoint_ns, checkpoint_id), MongoDBSaver.getTuple() daxilindəki MongoDB find() sorğularına tip məhdudiyyəti olmadan ötürülür. Əgər hücumçu sətir əvəzinə obyekt yükləməsi (məsələn, MongoDB operatorları olan $gt və ya $ne) təqdim edərsə, bu, sorğu operatoru kimi şərh edilə bilər ki, bu da thread əhatə dairəsindən yan keçməyə və müxtəlif tenantlar arasında gözləyən yazmalar da daxil olmaqla checkpoint-lərin sızmasına səbəb olar. Tətbiqlər etibarsız giriş məlumatlarını sətirlərə çevirmədən və ya sxemə uyğun yoxlamadan birbaşa config.configurable-a ötürürlərsə, xüsusilə çoxtenantli və ya istifadəçi izolyasiyalı quruluşlarda risk altındadırlar. Yalnız server tərəfindən verilmiş, sətir tipli identifikatorlardan istifadə edən və sətir olmayan sahələri rədd edən sxem validasiyasına malik tətbiqlər bu problemdən təsirlənmir. Bu problem 1.3.1 versiyasında düzəldilmişdir.