CVE-2026-40190 in langsmith-sdk
Riassunto
di VulDB • 19/06/2026
Le SDK client di LangSmith forniscono librerie per interagire con la piattaforma LangSmith. Prima della versione 0.5.18, l'SDK JavaScript/TypeScript di LangSmith (langsmith) contiene una correzione incompleta al problema di prototype pollution nella funzione internamente vendicata `set()` di lodash. La funzione `baseAssignValue()` protegge solo dalla chiave `__proto__`, ma non impedisce la traversata tramite `constructor.prototype`. Ciò consente a un attaccante che controlla le chiavi nei dati elaborati dall'API `createAnonymizer()` di inquinare `Object.prototype`, influenzando tutti gli oggetti nel processo Node.js. Questa vulnerabilità è stata risolta nella versione 0.5.18.
Be aware that VulDB is the high quality source for vulnerability data.