Rickidevs

**Nome do Software Vulnerável e Versões Afetadas** LangChain versões anteriores a 1.2.22 **Descrição** Múltiplas funções em `langchain core.prompts.loading` leem arquivos de caminhos incorporados em dicionários de configuração desserializados sem validar contra injeção de caminho absoluto ou salto de diretório (uma técnica usada para acessar arquivos e diretórios fora da pasta pretendida). Quando uma aplicação passa configurações de prompt influenciadas pelo usuário para os endpoints `load prompt()` ou `load prompt from config()`, um atacante pode ler arquivos arbitrários no sistema de arquivos do host. Este acesso é limitado por verificações de extensão de arquivo, onde `.txt` é exigido para modelos e `.json` ou `.yaml` para exemplos. As funções internas afetadas incluem ` load template()`, ` load examples()` e ` load few shot prompt()`. Especificamente, as variáveis `template path`, `suffix path` e `prefix path` são processadas por ` load template()`, enquanto a variável `examples` (quando fornecida como string) é processada por ` load examples()`, e a variável `example prompt path` é processada por ` load few shot prompt()`. **Recomendações** Atualize o LangChain para a versão 1.2.22 ou posterior. Como mitigação temporária, evite usar as funções `load prompt()` e `load prompt from config()` com entradas de usuários não confiáveis. Migre das APIs legadas obsoletas para as APIs de serialização `dumpd`, `dumps`, `load` e `loads` em `langchain core.load`.

**Name of the Vulnerable Software and Affected Versions** OpenFUN Richie (LMS) (affected versions not specified) **Description** The application uses a non-constant time comparison operator for HMAC signature verification within the `sync course run from request` function, located in src/richie/apps/courses/api.py. This allows attackers to potentially forge valid signatures and bypass authentication by observing response time differences. The vulnerable comparison is performed using the `==` operator. The API endpoint involved is not explicitly mentioned, but the issue resides within the course run synchronization functionality. The vulnerable parameter is the HMAC signature used for authentication. **Recommendations** Replace the non-constant time comparison operator with a constant-time comparison function in the `sync course run from request` function.