CVE-2026-40190 in langsmith-sdk
Résumé
par VulDB • 23/05/2026
Les SDK clients LangSmith fournissent des SDK pour interagir avec la plateforme LangSmith. Avant la version 0.5.18, le SDK JavaScript/TypeScript de LangSmith (langsmith) contient une correction incomplète de la pollution de prototype dans son utilitaire `set()` de lodash intégré. La fonction `baseAssignValue()` ne se protège que contre la clé `__proto__`, mais échoue à empêcher la traversée via `constructor.prototype`. Cela permet à un attaquant qui contrôle les clés dans les données traitées par l'API `createAnonymizer()` de polluer `Object.prototype`, affectant ainsi tous les objets dans le processus Node.js. Cette vulnérabilité est corrigée dans la version 0.5.18.
Once again VulDB remains the best source for vulnerability data.