PT-2026-35086
CVE-2026-41481
·
تاريخ النشر
2026-04-16
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات langchain-text-splitters الأقدم من 1.1.2
الوصف
في الدالة HTMLHeaderTextSplitter.split text from url()، يتم التحقق من صحة عنوان URL الأولي باستخدام validate safe url()، ولكن عملية الاسترداد اللاحقة تتم عبر requests.get() مع تمكين عمليات إعادة التوجيه. ونظرًا لعدم إعادة التحقق من صحة وجهات إعادة التوجيه، فإن عنوان URL الذي يشير إلى خادم يسيطر عليه المهاجم يمكن أن يعيد التوجيه إلى نقاط نهاية داخلية أو محلية أو سحابية للبيانات الوصفية، متجاوزًا بذلك إجراءات الحماية من تزوير الطلبات من جانب الخادم (SSRF). يُعد SSRF ثغرة تسمح للمهاجم بحث التطبيق من جانب الخادم على إرسال طلبات إلى موقع غير مقصود. يتم تحليل نص الاستجابة وإرجاعه ككائنات Document. إذا قام التطبيق بكشف هذه المحتويات مرة أخرى إلى الطالب، فقد تتسرب البيانات الحساسة من نقاط النهاية الداخلية.
التوصيات
تحديث langchain-text-splitters إلى الإصدار 1.1.2.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾