CVE-2026-25528
Açıklama
LangSmith Client SDK'ları, LangSmith platformu ile etkileşim kurmak için SDK'lar sağlar. LangSmith SDK'larının dağıtık izleme özelliği, kötü amaçlı HTTP başlıkları aracılığıyla Sunucu Taraflı İstek Sahteciliği'ne (Server-Side Request Forgery) karşı savunmasızdır. Bir saldırgan, baggage başlığı üzerinden rastgele api_url değerleri enjekte ederek SDK'nın hassas izleme verilerini saldırgan kontrollü uç noktalara sızdırmasına neden olabilir. Dağıtık izleme kullanıldığında SDK, gelen HTTP başlıklarını Python'da RunTree.from_headers() veya Typescript'te RunTree.fromHeaders() aracılığıyla ayrıştırır. Baggage başlığı, api_url ve api_key alanlarını içeren replika yapılandırmaları içerebilir. Düzeltmeden önce, saldırgan tarafından kontrol edilen bu değerler herhangi bir doğrulama yapılmadan kabul ediliyordu. İzlenen bir işlem tamamlandığında, SDK'nın post() ve patch() yöntemleri, saldırgan tarafından enjekte edilenler de dahil olmak üzere yapılandırılmış tüm replika URL'lerine çalışma verilerini gönderir. Bu güvenlik açığı, Python SDK'sının 0.6.3 versiyonunda ve JavaScript SDK'sının 0.4.6 versiyonunda giderilmiştir.
Nasıl düzeltilir
- langsmith0.6.3, 0.4.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| langsmithPyPI | 0.4.10 ≤ v < 0.6.3, 0.3.41 ≤ v < 0.4.6 | 0.6.3, 0.4.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.