CVE-2026-55253

LangChain MongoDB; MongoDB, Atlas, LangChain və LangGraph arasında inteqrasiyalar təmin edir. langgraph-checkpoint-mongodb 0.3.0 və langgraph-store-mongodb 0.4.0 versiyalarından əvvəl MongoDBSaver.list(), MongoDBSaver.alist() və MongoDBStore.search() funksiyaları filtr lüğətlərini MongoDB sorğularına daxil edərkən $ prefiksi ilə başlayan açarları rekursiv şəkildə rədd etmir. HTTP sorğu parametrləri, sorğu gövdəsi sahələri və ya agent alət arqumentləri vasitəsilə filtr arqumentini idarə edən autentifikasiya olunmuş çağırıcı $regex və ya $where kimi MongoDB Query Language operatorlarını inyeksiya edə bilər. Hər istifadəçi və ya hər tenant üçün izolyasiyanı təmin etmək məqsədilə filtrdən istifadə edən çoxtenantli (multi-tenant) tətbiqlərdə, inyeksiya edilmiş operatorlar nəzərdə tutulmuş bərabərlik filtrini yan keçə və digər tenantların checkpoint və ya store məlumatlarını üzə çıxara bilər. Tamamilə etibarlı server tərəfli dəyərlərdən qurulan filtrlər daha aşağı praktiki riskə malikdir. Bu problem langgraph-checkpoint-mongodb 0.3.0 və langgraph-store-mongodb 0.4.0 versiyalarında düzəldilmişdir.