CVE-2026-55236

langgraph-api, hızlı geliştirme ve test için LangGraph API'sini uygular. 0.10.0 sürümünden önce, langgraph-api run-creation yolu, doğrudan okumalar ve cron oluşturma tarafından kullanılan assistants.read olayı yerine eksik bir değerle assistants.search göndererek bir çalışmaya eklenen asistanı yetkilendirir. Yalnızca assistants.read kaydeden özel kaynak işleyicilerine sahip olan, assistants.search işleyicisi bulunmayan ve genel bir yedek işleyicisi olmayan dağıtımlarda, hiçbir uygun işleyici sahiplik filtresi sağlamaz; bu durum düşük yetkili bir kullanıcının POST /runs veya POST /threads/{thread_id}/runs üzerinden başka bir kullanıcının özel asistanına referans vermesine izin verir. Çalıştırma yanıtı, özel asistanın meta verilerini, yapılandırmasını ve bağlamını ifşa edebilir ve çalışma, söz konusu asistanın yapılandırmasını kullanarak yürütülebilir. Özel yetkilendirme işleyicileri olmayan veya genel bir işleyici aracılığıyla ya da tüm asistan olayları boyunca eşdeğer bir sahiplik filtresi uygulanan dağıtımlar etkilenmez. Bu sorun 0.10.0 sürümünde düzeltilmiştir.