CVE-2026-55236 in langgraph-api
Zusammenfassung
von VulDB • 14.09.2026
langgraph-api implementiert die LangGraph-API für eine schnelle Entwicklung und Tests. Vor Version 0.10.0 autorisiert der run-creation-Pfad (Erstellung von Läufen) den mit einem Lauf verbundenen Assistenten, indem assistants.search mit einem unvollständigen Wert ausgelöst wird, anstatt das von direkten Lesevorgängen und der Erstellung von Cron-Jobs verwendete Event assistants.read zu nutzen. Bei Bereitstellungen mit benutzerdefinierten Ressourcen-Handlern, die nur assistants.read registrieren, keinen assistants.search-Handler enthalten und über keinen globalen Fallback-Handler verfügen, liefert kein anwendbarer Handler einen Owner-Filter (Eigentümerfilter). Dies ermöglicht es einem Benutzer mit geringen Berechtigungen, auf private Assistenten eines anderen Benutzers über POST /runs oder POST /threads/{thread_id}/runs zuzugreifen. Die Antwort bei der Lauf-Erstellung kann die Metadaten, Konfiguration und den Kontext des privaten Assistenten offenlegen, und der Lauf kann unter Verwendung der Konfiguration dieses Assistenten ausgeführt werden. Bereitstellungen ohne benutzerdefinierte Autorisierungs-Handler oder mit einem äquivalenten Owner-Filter, der über einen globalen Handler oder bei allen Assistant-Events angewendet wird, sind nicht betroffen. Dieses Problem wurde in Version 0.10.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.