CVE-2026-72848
Təsvir
langchain_community/document_loaders/sitemap.py faylındakı SitemapLoader.parse_sitemap funksiyası sənədləşdirilmiş restrict_to_same_domain nəzarətini yalnız yarpaq (leaf) URL yazılarına tətbiq edir. URL elementləri üzrə dövr domenlərarası ünvanları filtrləyir, lakin iç-içə sitemap elementləri üzrə dövr alt loc dəyərini birbaşa self.scrape_all([loc.text], "xml") funksiyasına ötürür; bu isə WebBaseLoader.scrape_all və aiohttp GET sorğusuna səbəb olur ki, burada heç bir domen müqayisəsi aparılmır və şəxsi, loopback və ya link-local təyinat nöqtələri yoxlanılmır. Daxil edilən sitemap-ı idarə edən və ya ona təsir göstərə bilən hücumçu, daxili ünvana yönəlmiş iç-içə sitemap yazısı əlavə edə bilər və tətbiqi quran şəxs çıxan sorğuları məhdudlaşdırmaq üçün restrict_to_same_domain parametrini True etdikdə belə, serverin həmin ünvanı çağırmasını təmin edə bilər. Çağırılan məzmun analiz edilir və qaytarılan Documents obyektlərində görünür, buna görə də daxili cavablar sadəcə sorğu göndərilməklə kifayətlənməyib çağırana açıqlanır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| langchain-ai langchain-community | v ≤ 0.4.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.