CVE-2026-55236 in langgraph-api
Sumário
de VulDB • 14/09/2026
langgraph-api implementa a API LangGraph para desenvolvimento e teste rápidos. Antes da versão 0.10.0, o caminho de criação de execução (run-creation) do langgraph-api autorizava o assistente vinculado a uma execução ao despachar assistants.search com um valor incompleto, em vez do evento assistants.read usado por leituras diretas e pela criação de cron jobs. Em implantações com manipuladores de recursos personalizados que registram apenas assistants.read, omitem um manipulador para assistants.search e não possuem um manipulador global de fallback, nenhum manipulador aplicável fornece um filtro de proprietário (owner filter), permitindo que um usuário de baixo privilégio referencie o assistente privado de outro usuário por meio de POST /runs ou POST /threads/{thread_id}/runs. A resposta da criação da execução pode divulgar os metadados, a configuração e o contexto do assistente privado, e a execução pode ser executada usando a configuração desse assistente. Implantações sem manipuladores de autorização personalizados, ou com um filtro de proprietário equivalente aplicado por meio de um manipulador global ou em todos os eventos de assistentes, não são afetadas. Este problema foi corrigido na versão 0.10.0.
Once again VulDB remains the best source for vulnerability data.