PT-2026-129189
CVE-2026-118668
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
langgraph-api الإصدارات من 0.1.2 إلى 0.14.9
Description
في عمليات النشر التي تستخدم مصادقة مخصصة بلغة JavaScript أو TypeScript، قد يفشل النظام في تطبيق تغييرات تفويض Store التي يعيدها معالج التفويض. يحدث هذا عندما يعيد المعالج نطاق اسم (namespace) مُعاد كتابته لا يتم نقله عبر حدود وقت التشغيل قبل عملية Store. وبناءً على ذلك، يمكن لمستخدم مصادق عليه الوصول إلى نطاق اسم Store الخاص بمستخدم آخر، مما يسمح بالقراءة أو الكتابة فوق البيانات أو البحث عنها أو حذفها بشكل غير مصرح به. تؤثر هذه المشكلة تحديدًا على عمليات النشر التي تعتمد على إعادة كتابة نطاق الاسم للعزل؛ أما المعالجات التي ترفض نطاقات الأسماء غير المصرح بها بدلاً من إعادة كتابتها فلا تتأثر. كما أن معالجات المصادقة المخصصة بلغة Python غير متأثرة.
Recommendations
التحديث إلى الإصدار 0.15.0 أو أحدث.
كإجراء مؤقت، قم بتغيير معالجات تفويض Store في JavaScript أو TypeScript لرفض طلبات نطاقات الأسماء غير المصرح بها بدلاً من الاعتماد على إعادة كتابة نطاق الاسم لكل إجراء Store متاح في عملية النشر.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾