PT-2026-7722 · Unknown+1 · Langchain-Community+1

Kpanuragh · Publicado 2026-02-11 · Atualizado 2026-06-13 · CVE-2026-26019

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.1

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do LangChain anteriores à 1.1.14

Descrição A classe RecursiveUrlLoader dentro do componente @langchain/community é um web crawler que segue links recursivamente a partir de uma URL inicial. A opção preventOutside, destinada a restringir o rastreamento ao mesmo site, utilizava String.startsWith() para comparação de URL, o que não realiza validação semântica de URL. Isso permitiu que atacantes que controlam o conteúdo da página rastreada incluíssem links para infraestrutura controlada por atacantes ou interna, explorando domínios que compartilham um prefixo de string com o alvo. O crawler também carecia de validação contra endereços IP privados ou reservados, permitindo acesso a serviços de metadados de nuvem, localhost e endereços RFC 1918. Um atacante influenciando o conteúdo da página rastreada poderia potencialmente buscar metadados de instância de nuvem, acessar serviços internos em redes privadas, conectar-se a serviços localhost ou exfiltrar dados de resposta. O problema é explorável em ambientes onde o crawler tem acesso a metadados de nuvem ou serviços internos.

Recomendações Versões anteriores à 1.1.14 devem ser atualizadas para a versão 1.1.14 ou posterior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-26019

GHSA-GF3V-FWQG-4VH7

Produtos afetados

Langchain-Community

Langchain

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/26xxx/CVE-2026-26019.json · Exploit
• https://github.com/langchain-ai/langchainjs/commit/d5e3db0d01ab321ec70a875805b2f74aefdadf9d · Correção
• https://github.com/langchain-ai/langchainjs · Nota
• https://github.com/langchain-ai/langchainjs/pull/9990 · Correção
• https://github.com/langchain-ai/langchainjs/security/advisories/GHSA-gf3v-fwqg-4vh7 · Aviso do Fabricante
• https://github.com/langchain-ai/langchainjs/releases/tag/%40langchain%2Fcommunity%401.1.14 · Nota
• https://twitter.com/ThreatSynop/status/2023676613573968022 · Publicação no Twitter
• https://twitter.com/PurpleOps_io/status/2023790149436354606 · Publicação no Twitter
• https://twitter.com/_cvereports/status/2021768744045891901 · Publicação no Twitter
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2026-26019 · Aviso do Fabricante
• https://t.me/cveNotify/151790 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2021698416582013211 · Publicação no Twitter
• https://twitter.com/Mx3Dev/status/2065827345911484453 · Publicação no Twitter
• https://twitter.com/OstorlabSec/status/2029221856746569923 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-26019 · Nota de Segurança