CVE-2026-34070 in langchain
الملخص
بحسب VulDB • 26/06/2026
LangChain هو إطار عمل لبناء وكلاء وتطبيقات مدعومة بنماذج لغوية كبيرة (LLMs). قبل الإصدار 1.2.22، كانت وظائف متعددة في `langchain_core.prompts.loading` تقرأ ملفات من مسارات مضمنة في قوائم تكوين مفككة التشفير (deserialized config dicts) دون التحقق منها ضد هجمات اجتياز الدليل أو حقن المسار المطلق. عندما تمرر تطبيق ما تكوينات مؤثرات مستخدم إلى دالتي `load_prompt()` أو `load_prompt_from_config()`، يمكن لمهاجم قراءة ملفات عشوائية على نظام الملفات للمضيف، مقيداً فقط بفحوصات امتداد الملف (.txt للقوالب، و.json/.yaml للأمثلة). تم إصلاح هذه المشكلة في الإصدار 1.2.22.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.