PT-2026-35087 · Pypi · Langchain-Openai

Deprrous · Publicado 2026-04-16 · Atualizado 2026-04-25 · CVE-2026-41488

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.1

Baixa

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N

Name of the Vulnerable Software and Affected Versions langchain-openai versões anteriores a 1.1.14

Description A função auxiliar url to size(), utilizada por get num tokens from messages para a contagem de tokens de imagem, contém uma falha de Time-of-Check to Time-of-Use (TOCTOU). A função valida URLs para proteção contra Server-Side Request Forgery (SSRF) e, posteriormente, as busca usando uma operação de rede separada com resolução de DNS independente. Isso cria uma janela de DNS rebinding onde um nome de host controlado por um invasor pode resolver para um IP público durante a fase de validação e, em seguida, resolver para um IP privado ou localhost durante a operação de busca real.

Recommendations Atualize para a versão 1.1.14 ou posterior.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-41488

GHSA-R7W7-9XR2-QQ2R

PYSEC-2026-76

Produtos afetados

Langchain-Openai

Referências · 9

• https://github.com/langchain-ai/langchain · Nota
• https://github.com/langchain-ai/langchain/security/advisories/GHSA-r7w7-9xr2-qq2r · Aviso do Fabricante
• https://github.com/pypa/advisory-database/tree/main/vulns/langchain-openai/PYSEC-2026-76.yaml · Nota
• https://osv.dev/vulnerability/PYSEC-2026-76 · Aviso do Fabricante
• https://twitter.com/Sattyamjjain/status/2048052345163174184 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41488 · Nota de Segurança
• https://twitter.com/CVEnew/status/2047798549287682285 · Publicação no Twitter
• https://twitter.com/Sattyamjjain/status/2048052075767255247 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-r7w7-9xr2-qq2r · Aviso do Fabricante