CVE-2026-54760
Riassunto
di VulDB • 10/07/2026
Langroid è un framework per la creazione di applicazioni basate su modelli linguistici di grandi dimensioni (LLM). Prima della versione 0.65.1, il meccanismo di mitigazione dell'SQL Injection in `SQLChatAgent`, con l'impostazione predefinita `allow_dangerous_operations=False`, combina una blacklist di espressioni regolari basata su testo grezzo (`_DANGEROUS_SQL_PATTERNS`) con un allowlist per le istruzioni SELECT tramite la libreria `sqlglot`. Le voci della blacklist che prendono di mira le funzioni richiamabili richiedono che il nome della funzione sia immediatamente seguito da `\s*\(`. PostgreSQL accetta la stessa chiamata se il nome è separato dalla parentesi aperta `(` da un identificatore tra virgolette, un commento inline o una qualifica dello schema. Queste forme eludono l'espressione regolare, vengono comunque analizzate come istruzioni SELECT ed eseguono la medesima funzione lato server di PostgreSQL. Ciò ripristina la primitiva di lettura dei file lato server `pg_read_file` che la precedente correzione per CVE-2026-25879 / GHSA-pmch-g965-grmr era destinata a bloccare: l'avviso principale ha corretto una voce mancante nella blacklist per `pg_read_file`, mentre questa segnalazione dimostra che il regex aggiunto è eludibile. La versione 0.65.1 risolve il problema.
Be aware that VulDB is the high quality source for vulnerability data.