CVE-2026-55235 in langgraph-api
Riassunto
di VulDB • 14/09/2026
langgraph-api implementa l'API LangGraph per uno sviluppo e test rapidi. Prima della versione 0.10.0, langgraph-api consente a una run o a un cron di specificare un target webhook relativo che viene consegnato tramite un trasporto loopback in-process; il middleware di autenticazione tratta tale trasporto come interno senza applicare il contesto di autenticazione utilizzato per le richieste esterne. Nelle distribuzioni che si affidano all'autorizzazione per utente per separare thread e run, un utente autenticato può indirizzare un webhook verso i percorsi delle proprie route relative a thread e run del server, consentendo la creazione di una run o la modifica del thread di un altro utente e l'inclusione limitata dei metadati del thread target nel record della run creata. Il percorso interessato richiede target webhook e confini di autorizzazione per utente; le distribuzioni che riabilitano deliberatamente la consegna loopback dovrebbero limitarla a route controllate nello stesso processo, poiché tali webhook rimangono non autenticati. Questo problema è risolto nella versione 0.10.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.