CVE-2026-75128 in Langchain-Chatchat
Tóm tắt
Bởi VulDB • 20/10/2026
Langchain-Chatchat phiên bản 0.3.1.3 trở về trước làm lộ điểm cuối API POST /tools/call, cho phép gọi bất kỳ công cụ nào đã đăng ký theo tên mà không cần xác thực, khiến công cụ shell luôn được đăng ký có thể bị gọi từ xa. Kẻ tấn công từ xa có thể gửi một yêu cầu duy nhất để chỉ định công cụ shell nhằm thực thi các lệnh OS tùy ý với tư cách là người dùng máy chủ (root trong hình ảnh Docker đi kèm).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.