PT-2026-48932
CVE-2026-48121
·
تاريخ النشر
2026-06-12
·
تاريخ التحديث
2026-10-24
الوصف من
CVSS 3.1
6.7
متوسطةالمقاييسAV:A/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات @langchain/langgraph-checkpoint-mongodb الأقدم من 1.3.1
الوصف
توجد ثغرة حقن NoSQL في الدالة
MongoDBSaver.getTuple(). يفشل البرنامج في فرض التحقق من صحة أنواع معرّفات نقاط التحقق التي يتم تمريرها عبر config.configurable، وتحديدًا المتغيرات thread id وcheckpoint ns وcheckpoint id. إذا قدم المهاجم كائنًا يحتوي على عوامل تشغيل MongoDB (مثل $gt أو $ne) بدلاً من سلسلة نصية، فإن النظام يفسر هذه العوامل على أنها عوامل استعلام. وهذا يسمح للمهاجم بتجاوز نطاق مؤشر الترابط وتسريب البيانات الحساسة، بما في ذلك حالة نقاط التحقق والبيانات الوصفية وعمليات الكتابة المعلقة، عبر مستأجرين مختلفين. ويوجد هذا الخطر بشكل أساسي في البيئات متعددة المستأجرين أو البيئات المعزولة للمستخدمين حيث يتم توجيه المدخلات غير الموثوق بها إلى التكوين دون فرض نوع السلسلة أو التحقق من صحة المخطط.التوصيات
قم بتحديث @langchain/langgraph-checkpoint-mongodb إلى الإصدار 1.3.1 أو أحدث.
تحقق من صحة حقول المعرفات عند حدود واجهة برمجة التطبيقات (API) للتأكد من أنها سلاسل نصية وتجنب تمرير كائنات العميل الأولية إلى تكوين الرسم البياني.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾