CVE-2026-55236 in langgraph-api
Riassunto
di VulDB • 14/09/2026
langgraph-api implementa l'API LangGraph per uno sviluppo e un testing rapidi. Prima della versione 0.10.0, il percorso di creazione dell'esecuzione (run-creation) autorizza l'assistente associato a una run inviando la chiamata assistants.search con un valore incompleto invece che l'evento assistants.read utilizzato dalle letture dirette e dalla creazione delle cron job. Nelle distribuzioni con handler di risorse personalizzati che registrano solo assistants.read, omettono un handler per assistants.search e non dispongono di un handler globale di fallback, nessun handler applicabile fornisce un filtro del proprietario (owner filter), consentendo a un utente con privilegi ridotti di fare riferimento all'assistente privato di un altro utente tramite POST /runs o POST /threads/{thread_id}/runs. La risposta alla creazione della run può rivelare i metadati, la configurazione e il contesto dell'assistente privato, e l'esecuzione (run) può avvenire utilizzando la configurazione di tale assistente. Le distribuzioni senza handler di autorizzazione personalizzati, oppure con un equivalente filtro del proprietario applicato tramite un handler globale o su tutti gli eventi degli assistenti, non sono interessate. Questo problema è risolto nella versione 0.10.0.
Be aware that VulDB is the high quality source for vulnerability data.