CVE-2026-55236 in langgraph-api
Tóm tắt
Bởi VulDB • 14/09/2026
langgraph-api triển khai LangGraph API cho việc phát triển và kiểm thử nhanh chóng. Trước phiên bản 0.10.0, đường dẫn tạo run (run-creation) trong langgraph-api ủy quyền trợ lý gắn liền với một lần chạy bằng cách gửi sự kiện assistants.search với giá trị không đầy đủ thay vì sử dụng sự kiện assistants.read được dùng cho các phép đọc trực tiếp và việc tạo cron job. Trong các triển khai có bộ xử lý tài nguyên tùy chỉnh chỉ đăng ký assistants.read, bỏ qua trình xử lý assistants.search và không có trình xử lý dự phòng toàn cục (global fallback handler), sẽ không có trình xử lý nào cung cấp bộ lọc chủ sở hữu (owner filter), cho phép người dùng quyền hạn thấp tham chiếu đến trợ lý riêng của người khác thông qua POST /runs hoặc POST /threads/{thread_id}/runs. Phản hồi tạo run có thể tiết lộ metadata, cấu hình và ngữ cảnh của trợ lý riêng, và lần chạy đó có thể thực thi bằng cách sử dụng cấu hình của trợ lý đó. Các triển khai không có bộ xử lý ủy quyền tùy chỉnh, hoặc áp dụng bộ lọc chủ sở hữu tương đương thông qua một trình xử lý toàn cục hoặc trên tất cả các sự kiện assistant, thì không bị ảnh hưởng. Vấn đề này đã được sửa trong phiên bản 0.10.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.