CVE-2026-55235 in langgraph-api
Resumen
por VulDB • 2026-09-14
langgraph-api implementa la API de LangGraph para el desarrollo y las pruebas rápidas. Antes de la versión 0.10.0, langgraph-api permite que una ejecución (run) o un trabajo programado (cron) especifique un destino webhook relativo que se entrega a través de un transporte de bucle invertido in-process; el middleware de autenticación trata ese transporte como interno sin aplicar el contexto de autenticación utilizado para las solicitudes externas. En los despliegues que dependen de la autorización por usuario para separar hilos y ejecuciones, un usuario autenticado puede dirigir un webhook hacia las rutas propias del servidor correspondientes a sus propios hilos y ejecuciones, lo que permite crear una ejecución o modificar el hilo de otro usuario e incorporar limitadamente los metadatos del hilo objetivo en el registro de la ejecución creada. La ruta afectada requiere destinos webhooks y límites de autorización por usuario; los despliegues que reactiven deliberadamente la entrega mediante bucle invertido deberían restringirla a rutas controladas dentro del mismo proceso, ya que esos webhooks siguen sin estar autenticados. Este problema se soluciona en la versión 0.10.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.