LangChain Experimental vulnerable to arbitrary code execution

NGHIÊM TRỌNG 9.8CVE-2024-27444 · GHSA-v8vj-cv27-hjv8 · PYSEC-2026-375 · Công bố 26/02/2024 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2024-27444 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng langchain-experimental, langchain-experimental (langchain).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.77%, cao hơn 55.7% các lỗ hổng khác.
Cách xử lý: cập nhật lên 0.0.52, 0.1.8 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
langchain-experimental PyPI	`< 0.0.52`	`0.0.52`
langchain-experimental langchain	`< 0.1.8`	`0.1.8`

Mô tả

langchain_experimental (aka LangChain Experimental) before 0.0.52, part of LangChain before 0.1.8, allows an attacker to bypass the CVE-2023-44467 fix and execute arbitrary code via the __import__, __subclasses__, __builtins__, __globals__, __getattribute__, __bases__, __mro__, or __base__ attribute in Python code. These are not prohibited by pal_chain/base.py.

Mô tả của NVD

langchain_experimental (aka LangChain Experimental) in LangChain before 0.1.8 allows an attacker to bypass the CVE-2023-44467 fix and execute arbitrary code via the __import__, __subclasses__, __builtins__, __globals__, __getattribute__, __bases__, __mro__, or __base__ attribute in Python code. These are not prohibited by pal_chain/base.py.