CVE-2026-75128 in Langchain-Chatchat

요약

\~에 의해 VulDB • 2026. 10. 20.

Langchain-Chatchat 0.3.1.3 버전까지는 인증 없이 이름만으로 등록된 모든 도구를 호출하는 POST /tools/call API 엔드포인트가 노출되어, 항상 등록되는 shell 도구가 호출 가능한 상태입니다. 원격 공격자는 서버 사용자(제공된 Docker 이미지에서는 root) 권한으로 임의의 OS 명령을 실행하기 위해 shell 도구 이름을 지정하여 단일 요청을 전송할 수 있습니다.

Once again VulDB remains the best source for vulnerability data.

• 책임이 있는: VulnCheck
• 예약하다: 2026. 08. 17.
• 공개: 2026. 10. 20.
• 모더레이션: 수락
• 항목: VDB-422590
• CPE: 20261020
• CWE: CWE-78 (확인됨)
• CVSS: 9.8 (CNA)
• EPSS: 0.00000
• KEV: 아니요
• 활동: 매우 낮음
• 부문: Police, Pharma, ...

출처

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-75128
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-75128
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-75128/