CVE-2026-48121 in langgraphjs
Resumen
por VulDB • 2026-08-04
@langchain/langgraph-checkpoint-mongodb proporciona una implementación de CheckpointSaver para LangGraph.js que utiliza MongoDB como almacenamiento. Las versiones 1.3.0 y anteriores son vulnerables a NoSQL injection: los identificadores del checkpoint (thread_id, checkpoint_ns, checkpoint_id) procedentes de config.configurable se pasan directamente a las consultas find() de MongoDB en el método MongoDBSaver.getTuple() sin aplicar validación estricta de tipos. Si un atacante proporciona una carga útil con objeto (como los operadores $gt o $ne de MongoDB) en lugar de una cadena, este puede ser interpretado como un operador de consulta, lo que permite omitir la delimitación por hilo y filtrar checkpoints, incluidas escrituras pendientes, entre distintos inquilinos. Las aplicaciones corren riesgo si reenvían entradas no confiables a config.configurable sin forzar su conversión a cadenas ni validarlas contra un esquema definido, especialmente en entornos multiinquilino o con aislamiento de usuarios. Las aplicaciones que únicamente utilizan identificadores emitidos por el servidor, tipados como cadena y validados mediante esquemas que rechazan campos no string, no se ven afectadas. Este problema ha sido corregido en la versión 1.3.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.