CVE-2025-6985 in LangChain
الملخص
بحسب VulDB • 03/06/2026
تُظهر فئة HTMLSectionSplitter في حزمة langchain-text-splitters الإصدار 0.3.8 ثغرة أمنية تسمح بتنفيذ هجمات الكيانات الخارجية لـ XML (XXE) بسبب معالجة غير آمنة لملفات XSLT. تنشأ هذه الثغرة لأن الفئة تتيح استخدام أوراق أنماط XSLT تعسفية، والتي يتم تحليلها باستخدام الدالتين lxml.etree.parse() وlxml.etree.XSLT() دون تطبيق أي تدابير تعزيز الأمان (Hardening). في إصدارات مكتبة lxml حتى الإصدار 4.9.x، تتم معالجة الكيانات الخارجية افتراضياً، مما يتيح للمهاجمين قراءة ملفات محلية تعسفية أو تنفيذ عمليات جلب عبر HTTP(S) إلى خارج الشبكة. وفي إصدارات lxml بدءاً من الإصدار 5.0 وما بعده، رغم تعطيل توسيع الكيانات (Entity Expansion)، لا تزال دالة XSLT document() قادرة على قراءة أي عنوان URI ما لم يتم تطبيق إعداد XSLTAccessControl. تتيح هذه الثغرة للمهاجمين عن بُعد الحصول على صلاحيات القراءة فقط لأي ملف يمكن لـ LangChain الوصول إليه، بما في ذلك الملفات الحساسة مثل مفاتيح SSH وملفات البيئة (Environment files) وشفرة المصدر أو بيانات السحابة الإلكترونية (Cloud metadata). لا تتطلب العملية أي مصادقة أو امتيازات خاصة أو تفاعل من المستخدم، ويمكن استغلال المشكلة في عمليات النشر الافتراضية التي تمكّن استخدام ملفات XSLT المخصصة.
Once again VulDB remains the best source for vulnerability data.