PT-2026-129188
CVE-2026-118667
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
langgraph-sdk الإصدارات من 0.4.0 إلى 0.4.5
langgraph الإصدارات من 1.2.3 إلى 1.2.13
Description
يفشل عميل البث v3 في LangGraph Python SDK في ترميز قيم
thread id و assistant id التي يوفرها المستخدم عند إدراجها في مسارات الطلبات ضمن الدوال المساعدة المتزامنة وغير المتزامنة get tree() و fetch state(). ونظرًا لعدم معالجة هذه المعرفات عبر الدالة المساعدة quote path param ، يمكن استخدام مقاطع المسار النسبية لإعادة توجيه طلبات GET الموثقة إلى مسارات أخرى قابلة للقراءة على الخادم المكون. يمكن للمهاجم الذي يوفر نصًا يتم التحكم فيه لهذه المتغيرات أن يتسبب في قيام SDK بإرجاع استجابات من مسارات خادم مختلفة، بما في ذلك القدرة على التحكم في سلسلة الاستعلام عبر thread id. لا تسمح هذه المشكلة بعمليات الكتابة لأنها تقتصر على طلبات GET.Recommendations
تحديث langgraph-sdk إلى الإصدار 0.4.6 أو أحدث.
تحديث langgraph إلى الإصدار 1.2.14 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾