CVE-2026-27795 in langchainjs
要約
〜によって VulDB • 2026年05月26日
LangChainは、LLM搭載アプリケーションを構築するためのフレームワークです。バージョン1.1.8より前では、`@langchain/community`の`RecursiveUrlLoader`に、リダイレクトを利用したServer-Side Request Forgery (SSRF) の回避脆弱性が存在します。このローダーは初期URLの検証を行いますが、内部のフェッチ処理がリダイレクトを自動的に追従するため、安全な公開URLから内部エンドポイントやメタデータエンドポイントへの遷移が再検証なしに可能になります。これは1.1.14で導入されたSSRF保護機能（CVE-2026-26019）を回避するものです。ユーザーは、すべてのリダイレクトホップを検証する`@langchain/community` 1.1.18にアップグレードする必要があります。このバージョンでは、自動リダイレクトが無効化され（`redirect: "manual"`）、各3xx `Location`は次のリクエストを行う前に`validateSafeUrl()`で解決および検証され、最大リダイレクト数制限により無限ループが防止されます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.