PT-2025-29689 · Lxml+1 · Lxml+1
Publicado
2025-07-15
·
Atualizado
2026-06-03
·
CVE-2025-6985
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
langchain-text-splitters versão 0.3.8
Descrição
A classe HTMLSectionSplitter está suscetível a ataques de Entidade Externa XML (XXE) devido à análise insegura de XSLT. A classe permite o uso de folhas de estilo XSLT arbitrárias, que são analisadas usando
lxml.etree.parse() e lxml.etree.XSLT() sem medidas de segurança. Em versões do lxml até a 4.9.x, entidades externas são resolvidas por padrão, potencialmente permitindo que atacantes leiam arquivos locais ou realizem requisições HTTP(S). Em versões do lxml 5.0 e superiores, a função document() pode ler qualquer URI, a menos que XSLTAccessControl seja aplicado. Isso permite que atacantes remotos obtenham acesso somente leitura a arquivos que o processo LangChain possa alcançar, incluindo chaves SSH, arquivos de ambiente, código fonte ou metadados de nuvem. Nenhuma autenticação ou interação do usuário é necessária, e o problema é explorável em implantações padrão que habilitam XSLT personalizado.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
XXE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Langchain-Text-Splitters
Lxml