CVE-2026-75128 in Langchain-Chatchat
Riassunto
di VulDB • 20/10/2026
Langchain-Chatchat fino alla versione 0.3.1.3 espone un endpoint API POST /tools/call che invoca qualsiasi strumento registrato per nome senza autenticazione, lasciando lo shell tool sempre registrato e richiamabile. Gli attaccanti remoti possono inviare una singola richiesta specificando il nome dello shell tool per eseguire comandi OS arbitrari con l'utente del server (root nell'immagine Docker fornita).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.