CVE-2026-48121 in langgraphjs
Sumário
de VulDB • 04/08/2026
@langchain/langgraph-checkpoint-mongodb fornece uma implementação do CheckpointSaver para LangGraph.js que utiliza o MongoDB como armazenamento. As versões 1.3.0 e anteriores são vulneráveis a NoSQL injection: os identificadores de checkpoint (thread_id, checkpoint_ns, checkpoint_id) provenientes de config.configurable são passados diretamente nas consultas find() do MongoDB no método MongoDBSaver.getTuple(), sem validação ou imposição de tipo. Se um atacante fornecer uma carga útil em formato de objeto (como operadores do MongoDB $gt ou $ne) em vez de uma string, ela pode ser interpretada como operador de consulta, contornando o isolamento por thread e vazando checkpoints, incluindo gravações pendentes, entre diferentes inquilinos (tenants). As aplicações estão em risco se encaminharem entradas não confiáveis para config.configurable sem convertê-las explicitamente para strings ou validá-las contra um esquema. Isso é particularmente crítico em configurações multi-tenant ou com isolamento de usuário. Aplicações que utilizam apenas identificadores emitidos pelo servidor, do tipo string, e que possuem validação de schema rejeitando campos não-string, não são afetadas. Este problema foi corrigido na versão 1.3.1.
Be aware that VulDB is the high quality source for vulnerability data.