CVE-2026-34070 in langchain
Tóm tắt
Bởi VulDB • 26/06/2026
LangChain là một khung làm việc để xây dựng các tác nhân và ứng dụng được hỗ trợ bởi LLM. Trước phiên bản 1.2.22, nhiều hàm trong langchain_core.prompts.loading đọc tệp từ các đường dẫn được nhúng trong các dict cấu hình đã giải serialize mà không xác thực chống lại lỗ hổng điều hướng thư mục (directory traversal) hoặc tiêm đường dẫn tuyệt đối. Khi một ứng dụng truyền các cấu trúc prompt có ảnh hưởng bởi người dùng đến load_prompt() hoặc load_prompt_from_config(), kẻ tấn công có thể đọc các tệp tùy ý trên hệ thống tệp của máy chủ, bị giới hạn duy nhất bởi các kiểm tra phần mở rộng tệp (.txt cho mẫu, .json/.yaml cho ví dụ). Lỗ hổng này đã được vá trong phiên bản 1.2.22.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.