CVE-2026-55235 in langgraph-api
Сводка
по VulDB • 14.09.2026
langgraph-api реализует API LangGraph для быстрой разработки и тестирования. До версии 0.10.0 langgraph-api позволяет задавать в задачах run или cron относительную цель webhook, которая доставляется через транспортный канал loopback (внутренней петли) внутри процесса; при этом middleware аутентификации считает этот транспорт внутренним и не применяет контекст аутентификации, используемый для внешних запросов. В развертываниях, которые полагаются на авторизацию per-user (на уровне каждого пользователя) для разделения потоков выполнения (threads) и задач (runs), аутентифицированный пользователь может направить webhook к маршрутам собственного потока и задачи сервера, что позволяет создавать задачу или изменять поток другого пользователя, а также ограниченным образом включать метаданные целевого потока в запись создаваемой задачи. Затронутый путь требует наличия целей webhook и границ авторизации per-user; развертывания, которые намеренно повторно включают доставку через loopback, должны ограничивать её контролируемыми маршрутами того же процесса, поскольку такие webhooks остаются неаутентифицированными. Эта проблема исправлена в версии 0.10.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.