CVE-2026-48121 in langgraphjs
요약
\~에 의해 VulDB • 2026. 08. 05.
@langchain/langgraph-checkpoint-mongodb는 MongoDB를 스토리지로 사용하는 LangGraph.js CheckpointSaver 구현체를 제공합니다. 버전 1.3.0 및 그 이하 버전은 NoSQL injection 취약점에 노출되어 있습니다: config.configurable에서 가져온 checkpoint 식별자(thread_id, checkpoint_ns, checkpoint_id)가 MongoDBSaver.getTuple() 내에서 MongoDB find() 쿼리에 전달될 때 타입 강제 검증(type enforcement)이 이루어지지 않습니다. 공격자가 문자열 대신 MongoDB 연산자인 $gt 또는 $ne와 같은 객체 페이로드를 제공하면 이는 쿼리 연산자로 해석되어 스레드 범위 제한(thread scoping)을 우회하고, 대기 중인 쓰기 작업(pending writes)을 포함한 체크포인트가 테넌트 간에 유출될 수 있습니다. 신뢰할 수 없는 입력값을 config.configurable로 전달하면서 이를 문자열로 강제 변환하거나 스키마와 대조하여 검증하지 않는 애플리케이션은 위험에 처해 있으며, 특히 다중 테넌트 또는 사용자 격리 환경에서 더 큰 위협이 됩니다. 서버가 발급한 문자열 타입의 식별자만 사용하고 비문자 필드를 거부하는 스키마 검증을 적용하는 앱에는 영향을 미치지 않습니다. 이 문제는 버전 1.3.1에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.