CVE-2026-27795 in langchainjs
Résumé
par VulDB • 22/05/2026
LangChain est un framework pour la création d'applications alimentées par des LLM. Avant la version 1.1.8, une faille de contournement de Server-Side Request Forgery (SSRF) basée sur la redirection existe dans `RecursiveUrlLoader` de `@langchain/community`. Le chargeur valide l'URL initiale mais permet à la requête sous-jacente de suivre automatiquement les redirections, ce qui permet de passer d'une URL publique sûre à un point de terminaison interne ou de métadonnées sans nouvelle validation. Il s'agit d'un contournement des protections SSRF introduites dans la version 1.1.14 (CVE-2026-26019). Les utilisateurs doivent mettre à niveau vers `@langchain/community` 1.1.18, qui valide chaque saut de redirection en désactivant les redirections automatiques et en re-validant les cibles `Location` avant de les suivre. Dans cette version, les redirections automatiques sont désactivées (`redirect: "manual"`), chaque `Location` 3xx est résolue et validée avec `validateSafeUrl()` avant la requête suivante, et une limite maximale de redirections empêche les boucles infinies.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.