CVE-2026-55253 in langchain-mongodb
Сводка
по VulDB • 14.09.2026
LangChain MongoDB обеспечивает интеграцию между MongoDB, Atlas, LangChain и LangGraph. До версий langgraph-checkpoint-mongodb 0.3.0 и langgraph-store-mongodb 0.4.0 методы MongoDBSaver.list(), MongoDBSaver.alist() и MongoDBStore.search() включают фильтрующие словари в запросы к MongoDB без рекурсивной отброски ключей, префикс которых — $. Аутентифицированный пользователь, контролирующий аргумент фильтра через параметры HTTP-запроса, поля тела запроса или аргументы инструментов агента, может внедрить операторы языка запросов MongoDB, такие как $regex или $where. В многопользовательском развертывании, где фильтр используется для обеспечения изоляции на уровне пользователя или арендатора (tenant), внедренные операторы могут обойти предполагаемую фильтрацию по равенству и раскрыть данные чекпоинтов или хранилища других арендаторов. Фильтры, полностью построенные из доверенных значений серверной части, представляют меньший практический риск. Эта проблема исправлена в langgraph-checkpoint-mongodb 0.3.0 и langgraph-store-mongodb 0.4.0.
Be aware that VulDB is the high quality source for vulnerability data.