CVE-2024-3571 in langchain

摘要

由 VulDB • 2026-05-21

langchain-ai/langchain 存在路径遍历漏洞，原因是其 LocalFileStore 功能中对限制到受限目录的路径名限制不当（“路径遍历”）。攻击者可以利用此漏洞读取或写入文件系统上的任何文件，可能导致信息泄露或远程代码执行。问题出在 mset 和 mget 方法对文件路径的处理上，用户提供的输入未得到充分清理，使得目录遍历序列能够到达非预期的目录。

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

• 负责: Huntr.dev
• 预定: 2024-04-10
• 披露: 2024-04-16
• 管理: 已接受
• 条目: VDB-260838
• CPE: 准备好
• CWE: CWE-22 (已确认)
• CVSS: 8.8 (NVD)
• EPSS: 0.01856
• KEV: 否
• 活动: 非常低
• 部门: Transportation, Lawfirm, ...

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2024-3571
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-3571
• CVE Details: https://www.cvedetails.com/cve/CVE-2024-3571/