PT-2026-6292 · Langroid · Langroid
Pchalasan
·
Publicado
2025-05-20
·
Atualizado
2026-02-04
·
CVE-2026-25481
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do Langroid anteriores a 0.59.32
Descrição
O Langroid é um framework utilizado para construir aplicativos impulsionados por modelos de linguagem de grande porte. Existe uma vulnerabilidade no componente TableChatAgent onde o Firewall de Aplicação Web (WAF) pode ser contornado. Essa contornação ocorre devido a uma falha na função
literal ok(), que retorna incorretamente False em vez de gerar um erro ao encontrar entradas inválidas. Isso, combinado com o acesso irrestrito a perigosos atributos dunder, como init, globals e builtins, permite que atacantes encadeiem métodos do DataFrame na lista branca para acessar o recurso interno eval e, em última instância, executar código arbitrário. O problema permite a execução remota de código (RCE).Recomendações
Atualize para a versão 0.59.32 ou posterior.
Revise as implantações em busca de possíveis exposições.
Exploit
Correção
RCE
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Langroid