CVE-2026-40087
Açıklama
LangChain, ajanlar ve LLM destekli uygulamalar oluşturmak için kullanılan bir çerçevedir. 0.3.84 ve 1.2.28 sürümlerinden önce, LangChain'in f-string istem şablonu doğrulaması iki açıdan eksikti. İlk olarak, bazı istem şablon sınıfları f-string şablonlarını kabul ediyor ve bunları PromptTemplate ile aynı öznitelik erişim doğrulamasını zorunlu kılmadan biçimlendiriyordu. Özellikle DictPromptTemplate ve ImagePromptTemplate, öznitelik erişimi veya indeksleme ifadeleri içeren şablonları kabul edebiliyor ve ardından bu ifadeleri biçimlendirme sırasında değerlendirebiliyordu. İkinci olarak, ayrıştırılmış üst düzey alan adlarına dayalı f-string doğrulaması, biçim belirleyiciler içindeki iç içe geçmiş değiştirme alanlarını reddetmiyordu. Bu desende, iç içe geçmiş değiştirme alanı üst düzey alan adı yerine biçim belirleyicide görünür. Sonuç olarak, ayrıştırılmış alan adlarına dayalı önceki doğrulama, Python biçimlendirmesi çalışma zamanında iç içe geçmiş ifadeyi çözmeye çalışacak olsa bile şablonu reddetmiyordu. Bu güvenlik açığı 0.3.84 ve 1.2.28 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- langchain langchain_core0.3.84, 1.2.28 ya da sonraki bir sürüm
- langchain-core0.3.84, 1.2.28 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| langchain langchain_core | v < 0.3.84, 1.0.0 ≤ v < 1.2.28 | 0.3.84, 1.2.28 |
| langchain-corePyPI | v < 0.3.84, 1.0.0a1 ≤ v < 1.2.28 | 0.3.84, 1.2.28 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.