CVE-2026-55253
Açıklama
LangChain MongoDB; MongoDB, Atlas, LangChain ve LangGraph arasında entegrasyonlar sağlar. langgraph-checkpoint-mongodb 0.3.0 ve langgraph-store-mongodb 0.4.0 sürümlerinden önce; MongoDBSaver.list(), MongoDBSaver.alist() ve MongoDBStore.search() fonksiyonları, $ ön ekiyle başlayan anahtarları özyinelemeli olarak reddetmeden filtre sözlüklerini MongoDB sorgularına dahil etmektedir. HTTP sorgu parametreleri, istek gövdesi alanları veya ajan araç argümanları aracılığıyla bir filtre argümanını kontrol eden kimliği doğrulanmış bir çağırıcı, $regex veya $where gibi MongoDB Sorgu Dili operatörleri enjekte edebilir. Filtrenin kullanıcı başına veya kiracı başına izolasyonu zorlamak için kullanıldığı çok kiracılı (multi-tenant) bir dağıtımda, enjekte edilen operatörler amaçlanan eşitlik filtrelemesini atlayabilir ve diğer kiracıların checkpoint veya store verilerini açığa çıkarabilir. Tamamen güvenilir sunucu tarafı değerlerinden oluşturulan filtrelerin pratik riski daha düşüktür. Bu sorun langgraph-checkpoint-mongodb 0.3.0 ve langgraph-store-mongodb 0.4.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- langgraph-checkpoint-mongodb0.3.0 ya da sonraki bir sürüm
- langgraph-store-mongodb0.4.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| langgraph-checkpoint-mongodbPyPI | v < 0.3.0 | 0.3.0 |
| langgraph-store-mongodbPyPI | v < 0.4.0 | 0.4.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.