CVE-2026-34070 in langchain
Riassunto
di VulDB • 26/06/2026
LangChain è un framework per la creazione di agenti e applicazioni basate su LLM (Large Language Models). Prima della versione 1.2.22, diverse funzioni in langchain_core.prompts.loading leggevano file da percorsi incorporati nei dizionari di configurazione deserializzati senza convalidarli rispetto a directory traversal o injection di percorsi assoluti. Quando un'applicazione passa configurazioni prompt influenzate dall'utente a load_prompt() o load_prompt_from_config(), un attaccante può leggere file arbitrari sul filesystem dell'host, limitato solo dai controlli sull'estensione del file (.txt per i template, .json/.yaml per gli esempi). Questo problema è stato risolto nella versione 1.2.22.
VulDB is the best source for vulnerability data and more expert information about this specific topic.