CVE-2026-48776

LangGraph Python SDK, işlək vəziyyətdə olan LangGraph API serverlərinə qoşulmaq, assistentləri, thread-ləri idarə etmək və Python tətbiqlərindən axınları (stream runs) izləmək üçün istifadə olunur. 0.3.14 və daha əvvəlki versiyalarda resurs əməliyyatları üçün HTTP sorğu yollarında istifadə olunan, təmizlənməmiş çağırıcı tərəfindən təmin edilən identifikator dəyərləri vasitəsilə təhlükəsiz olmayan URL yolu qurulması problemi mövcuddur. Bu dəyərlərin təmizlənməməsi nəticəsində, URL yollarında xüsusi mənaya malik simvollar ehtiva edən identifikatorlar, yekun sorğunun SDK metodunun çağırıldığı yerdə göstəriləndən fərqli bir resursa (və potensial olaraq fərqli resurs növünə) yönəlməsinə səbəb ola bilər. SDK-nın etibarsız mənbələrdən gələn identifikator dəyərlərini qəbul etdiyi tətbiqlərdə bu, çağırıcı istifadəçinin avtorizasiya səlahiyyətlərindən kənar resurslara qeyri-ixtiyari girişə, onların dəyişdirilməsinə və ya silinməsinə gətirib çıxara bilər. Bu problem, son istifadəçi tərəfindən təmin edilən dəyərləri gözlənilən formata (məsələn, UUID) uyğunluğunu yoxlamadan birbaşa SDK identifikator parametrlərinə ötürən və yuxarı təbəqədə (reverse proxy, edge gateway, WAF) URL prefiksi əsaslı avtorizasiyadan asılı olan tətbiqlərdə daha kritikdir; belə hallarda avtorizasiya qərarı yekun çatdırılan sorğu yoluna deyil, SDK çağırışının hədəflənən yoluna əsasən verilir. Problem 0.3.15 versiyasında düzəldilmişdir.