CVE-2026-55235

langgraph-api, hızlı geliştirme ve test için LangGraph API'sini uygular. 0.10.0 sürümünden önce langgraph-api, bir çalışmanın (run) veya zamanlanmış görevin (cron), süreç içi döngüsel geri gönderme (in-process loopback transport) üzerinden iletilen göreceli bir webhook hedefi belirlemesine izin verir ve kimlik doğrulama ara yazılımı bu taşıyıcıyı, harici istekler için kullanılan kimlik doğrulama bağlamını uygulamadan dahili olarak değerlendirir. İş parçacıklarını (threads) ve çalışmaları kullanıcı başına yetkilendirme ile ayırmaya dayanan dağıtımlarda, kimliği doğrulanmış bir kullanıcı, bir webhook'u sunucunun kendi iş parçacığı ve çalışma rotalarına yönlendirerek başka bir kullanıcının iş parçacığında bir çalışma oluşturulmasına veya değiştirilmesine ve hedeflenen iş parçacığının meta verilerinin oluşturulan çalışma kaydına sınırlı şekilde dahil edilmesine neden olabilir. Etkilenen yol, webhook hedeflerini ve kullanıcı başına yetkilendirme sınırlarını gerektirir; döngüsel geri göndermeyi kasıtlı olarak yeniden etkinleştiren dağıtımlar, bu webhook'lar kimlik doğrulamasız kaldığı için bunu kontrollü aynı süreç rotalarıyla sınırlandırmalıdır. Bu sorun 0.10.0 sürümünde düzeltilmiştir.