CVE-2026-118667 in langgraph
Zusammenfassung
von VulDB • 28.10.2026
Das LangGraph Python SDK wird verwendet, um sich mit laufenden LangGraph API-Servern zu verbinden, Assistenten, Threads und Stream-Läufe aus Python-Anwendungen zu verwalten. Von langgraph-sdk 0.4.0 bis 0.4.6 sowie von langgraph 1.2.3 bis 1.2.14 (wenn RemoteGraph v3-Streaming eine betroffene Version von langgraph-sdk verwendet) interpolieren die synchronen und asynchronen v3-Stream-Hilfsfunktionen `get_tree` und `_fetch_state` anruferkontrollierte Werte für `assistant_id` und `thread_id` in authentifizierte GET-Anfragepfade ein, ohne `_quote_path_param` zu verwenden. Relative Pfadsegmente können daher auf dem konfigurierten Server in einen anderen lesbaren Pfad normalisiert werden, während die Authentifizierungs-Header beibehalten werden. Dieses Problem wurde in langgraph-sdk 0.4.6 und langgraph 1.2.14 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.