PT-2024-26659 · Langchain · Langchain

Eyurtsev · Publicado 2024-04-15 · Atualizado 2025-07-29 · CVE-2024-3571

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

langchain-ai/langchain (versões afetadas não especificadas)

Descrição

O langchain-ai/langchain está suscetível a uma vulnerabilidade de traversal de diretório decorrente de restrições insuficientes aos nomes de caminho dentro de sua funcionalidade LocalFileStore. Isso permite que invasores possam ler ou gravar arquivos em locais arbitrários no sistema de arquivos, o que pode resultar em divulgação de informações ou execução remota de código. A vulnerabilidade reside nos métodos mset e mget, onde a entrada fornecida pelo usuário não é adequadamente sanitizada, permitindo que sequências de traversal de diretório acessem diretórios indesejados.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2024-3571

GHSA-RGP8-PM28-3759

Produtos afetados

Langchain

Referências · 9

• 🔥 https://huntr.com/bounties/2df3acdc-ee4f-4257-bbf8-a7de3870a9d8 · Exploit
• https://github.com/langchain-ai/langchain · Nota
• https://github.com/langchain-ai/langchain/commit/aad3d8bd47d7f5598156ff2bdcc8f736f24a7412 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-3571 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-rgp8-pm28-3759 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-3571 · Aviso do Fabricante
• https://t.me/cveNotify/130147 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1780039197673541855 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1780117345601516019 · Publicação no Twitter