Tóm tắt nhanh
- CVE-2024-28088 là lỗ hổng mức CAO (CVSS 8.1) ảnh hưởng langchain, langchain-core, langchain (langchain).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.7%, cao hơn 77.7% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 0.0.339, 0.1.11, 0.1.30, 0.1.12 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| langchain PyPI | < 0.0.339< 0.1.11
| 0.0.3390.1.11
|
| langchain-core PyPI | < 0.1.11< 0.1.30
| 0.1.110.1.30
|
| langchain | < 0.1.12
| 0.1.12
|
Mô tả
LangChain through 0.1.10 allows ../ directory traversal by an actor who is able to control the final part of the path parameter in a load_chain call. This bypasses the intended behavior of loading configurations only from the hwchase17/langchain-hub GitHub repository. The outcome can be disclosure of an API key for a large language model online service, or remote code execution.
Mô tả của NVD
LangChain through 0.1.10 allows ../ directory traversal by an actor who is able to control the final part of the path parameter in a load_chain call. This bypasses the intended behavior of loading configurations only from the hwchase17/langchain-hub GitHub repository. The outcome can be disclosure of an API key for a large language model online service, or remote code execution. (A patch is available as of release 0.1.29 of langchain-core.)
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí