CVE-2026-44843
Açıklama
LangChain, ajanlar ve LLM destekli uygulamalar oluşturmak için kullanılan bir çerçevedir. 0.3.85 ve 1.3.3 sürümlerinden önce LangChain; çalışma zamanı girişlerini, çalışma zamanı çıktılarını veya uygulama tarafından kontrol edilen diğer yükleri aşırı geniş nesne izin listeleri kullanarak serisizleştiren eski çalışma zamanı kod yolları içermektedir. Bu yollar, allowed_objects="all" parametresiyle load() fonksiyonunu çağırabilir. Bu durum rastgele Python nesnesi serisizleştirmesine olanak tanımaz ancak herhangi bir güvenilir LangChain-serileştirilebilir nesnesinin yeniden canlandırılmasına izin verir ki bu, söz konusu çalışma zamanı yollarının gerektirdiğinden daha geniştir. Sonuç olarak, saldırgan tarafından sağlanan LangChain serileştirilmiş yapıcı sözlükleri, güvenilir çalışma zamanı yollarının sınıfları güvenilmeyen yapıcı argümanlarla örneklendirmesine neden olabilir. Bu güvenlik açığı 0.3.85 ve 1.3.3 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- langchain langchain0.3.85, 1.3.3 ya da sonraki bir sürüm
- langchain-core1.3.3, 0.3.85 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| langchain langchain | v < 0.3.85, 1.0.0 ≤ v < 1.3.3 | 0.3.85, 1.3.3 |
| langchain-corePyPI | 1.0.0 ≤ v < 1.3.3, v < 0.3.85 | 1.3.3, 0.3.85 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.