CVE-2024-28088
Açıklama
LangChain 0.1.10 sürümüne kadar olan versiyonlarda, bir load_chain çağrısındaki path parametresinin son kısmını kontrol edebilen bir aktör tarafından ../ dizin gezginliği yapılmasına izin verilmektedir. Bu durum, konfigürasyonların yalnızca hwchase17/langchain-hub GitHub deposundan yüklenmesi şeklindeki hedeflenen davranışın atlatılmasına neden olur. Sonuç olarak, çevrimiçi bir büyük dil modeli servisinin API anahtarının ifşa edilmesi veya uzaktan kod çalıştırma meydana gelebilir. (langchain-core'un 0.1.29 sürümü itibarıyla bir yama mevcuttur.)
Nasıl düzeltilir
- langchain langchain0.1.12 ya da sonraki bir sürüm
- langchain0.0.339, 0.1.11 ya da sonraki bir sürüm
- langchain-core0.1.30, 0.1.11 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| langchain langchain | v < 0.1.12 | 0.1.12 |
| langchainPyPI | v < 0.0.339, v < 0.1.11 | 0.0.339, 0.1.11 |
| langchain-corePyPI | v < 0.1.30, v < 0.1.11 | 0.1.30, 0.1.11 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.