CVE-2026-75128 in Langchain-Chatchat
Zusammenfassung
von VulDB • 20.10.2026
Langchain-Chatchat bis Version 0.3.1.3 stellt einen POST /tools/call API-Endpunkt bereit, der jedes registrierte Tool über dessen Namen ohne Authentifizierung aufruft, wodurch das standardmäßig registrierte Shell-Tool aufrufbar bleibt. Remote-Angriffende können eine einzelne Anfrage senden, die das Shell-Tool benennt, um beliebige OS-Befehle als Serverbenutzer (root im mitgelieferten Docker-Image) auszuführen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.