PT-2025-22277 · Langroid · Langroid
Sch227
·
Publicado
2025-05-20
·
Atualizado
2025-08-13
·
CVE-2025-46725
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do Langroid anteriores à 0.53.15
Descrição
O problema envolve o uso do
pandas eval() por meio da função compute from docs() no componente LanceDocChatAgent. Isso permite que um atacante potencialmente execute comandos maliciosos, comprometendo o sistema hospedeiro. O QueryPlan.dataframe calc também está implicado nesta questão.Recomendações
Para versões anteriores à 0.53.15, considere desativar o componente
LanceDocChatAgent ou restringir seu uso até que o problema seja resolvido. Como solução temporária, evite usar a função compute from docs() e o QueryPlan.dataframe calc para minimizar o risco de exploração. Atualize para a versão 0.53.15 ou posterior, que sanitiza a entrada para a função afetada por padrão e inclui avisos sobre comportamento de risco na documentação do projeto.Exploit
Correção
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Langroid