CVE-2026-104873

LangGraph Python SDK; çalışan LangGraph API sunucularına bağlanmak, asistanları ve thread'leri yönetmek ve Python uygulamalarından akışları (stream runs) yürütmek için kullanılır. 0.1.45 ile 0.4.4 versiyonları arasında, langgraph-sdk kaynak kapsamlı yetkilendirme dekoratörleri olan @auth.on.threads, @auth.on.assistants ve @auth.on.crons, actions argümanını yoksayar ve seçilen işleyiciyi kaynağın her eylemi için kaydeder. Bu joker karakterli kaynak işleyicisi daha geniş kapsamlı yedek (fallback) işleyicilerden önce seçildiği için, kimliği doğrulanmış bir kullanıcı; yedek eylem, sahiplik veya izin kontrollerini atlayarak başka bir kullanıcının kaynağını okuyabilir, güncelleyebilir veya silebilir. Yalnızca etkilenen dekoratörlerde actions kullanan Python dağıtımları savunmasızdır ve seçilen işleyicinin aldığı her eylem için gerekli tüm kontrolleri bağımsız olarak uyguladığı durumlarda dağıtım korumalı kalmaya devam eder. Bu sorun 0.4.4 versiyonunda düzeltilmiştir.