CVE-2026-27795
Açıklama
LangChain, LLM destekli uygulamalar geliştirmek için kullanılan bir çerçevedir. Versiyon 1.1.8 öncesinde, `@langchain/community` içerisindeki `RecursiveUrlLoader` bileşeninde yönlendirme tabanlı bir Server-Side Request Forgery (SSRF) atlatma zafiyeti bulunmaktadır. Yükleyici başlangıç URL'sini doğrulamakta ancak alttaki getirme işleminin yönlendirmeleri otomatik olarak takip etmesine izin vermektedir; bu durum, yeniden doğrulama yapılmaksızın güvenli bir genel URL'den dahili veya meta veri uç noktasına geçişe olanak tanır. Bu durum, 1.1.14 sürümünde getirilen SSRF korumalarının (CVE-2026-26019) atlatılmasıdır. Kullanıcıların, otomatik yönlendirmeleri devre dışı bırakarak ve bunları takip etmeden önce `Location` hedeflerini yeniden doğrulayarak her bir yönlendirme adımını denetleyen `@langchain/community` 1.1.18 sürümüne yükseltmeleri önerilir. Bu versiyonda, otomatik yönlendirmeler devre dışı bırakılmış (`redirect: "manual"`), her bir 3xx `Location` değeri bir sonraki istekten önce çözümlenip `validateSafeUrl()` ile doğrulanmış ve maksimum yönlendirme sınırı ile sonsuz döngüler engellenmiştir.
Nasıl düzeltilir
- langchain langchain_community1.1.18 ya da sonraki bir sürüm
- @langchain/community1.1.18 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| langchain langchain_community | v < 1.1.18 | 1.1.18 |
| @langchain/communitynpm | v < 1.1.18 | 1.1.18 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.