CVE-2026-41488

Düşük

Açıklama

LangChain, ajanlar ve LLM destekli uygulamalar oluşturmak için kullanılan bir çerçevedir. 1.1.14 sürümünden önce, langchain-openai'ın (get_num_tokens_from_messages tarafından görüntü belirteç sayımı için kullanılan) _url_to_size() yardımcı fonksiyonu, URL'leri SSRF koruması için doğruluyor ve ardından bunları bağımsız DNS çözünürlüğüne sahip ayrı bir ağ işlemiyle getiriyordu. Bu durum bir TOCTOU / DNS rebinding penceresine yol açıyordu: saldırgan tarafından kontrol edilen bir ana bilgisayar adı, doğrulama sırasında genel bir IP adresine, gerçek getirme işlemi sırasında ise özel bir IP veya localhost IP adresine çözümlenebilirdi.

ÖnemDüşük

CVSS3.1

İstismar olasılığı—

ÜrünLangchain-openai

Yayın24 Nis 2026

İlk görülme24 Nis 2026

Zayıflık türüCWE-918Sunucu taraflı istek sahteciliği (SSRF)

Nasıl düzeltilir

Güncelleyin

langchain langchain-openai1.1.14 ya da sonraki bir sürüm
langchain-openai1.1.14 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
langchain langchain-openai	v < 1.1.14	1.1.14
langchain-openaiPyPI	v < 1.1.14	1.1.14

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.