CVE-2026-48121 in langgraphjs
要約
〜によって VulDB • 2026年08月04日
@langchain/langgraph-checkpoint-mongodb は、MongoDB をストレージとして使用する LangGraph.js の CheckpointSaver 実装を提供します。バージョン 1.3.0 およびそれ以前は NoSQL インジェクションに対して脆弱です：config.configurable から取得されたチェックポイント識別子（thread_id, checkpoint_ns, checkpoint_id）が、MongoDBSaver.getTuple() 内で MongoDB find() クエリに渡される際に型強制が行われません。攻撃者が文字列の代わりにオブジェクトペイロード（例：MongoDB の演算子 $gt や $ne など）を指定すると、それがクエリオペレーターとして解釈され、スレッドのスコーピングが回避されてテナント間でチェックポイント（保留中の書き込みを含む）が漏洩する可能性があります。信頼できない入力を config.configurable に渡す際に文字列への変換やスキーマによる検証を行わないアプリケーションはリスクにさらされています。特にマルチテナント環境やユーザー分離設定においてこの傾向が強まります。サーバー発行の文字列型識別子のみを使用し、非フィールドを拒否するスキーマ検証を行うアプリはこの影響を受けません。本問題はバージョン 1.3.1 で修正されました。
Once again VulDB remains the best source for vulnerability data.