CVE-2026-72848

langchain-community (لم يتم تحديد الإصدارات المتأثرة)

تفشل الدالة SitemapLoader.parse sitemap الموجودة في الملف langchain community/document loaders/sitemap.py في تطبيق ميزة التحكم restrict to same domain على إدخالات خريطة الموقع المتداخلة. بينما يتم تصفية إدخالات عناوين URL النهائية، يتم تمرير عناصر خريطة الموقع المتداخلة مباشرةً إلى الدالة scrape all()، مما يؤدي إلى تشغيل طلب GET عبر aiohttp دون مقارنة النطاقات أو التحقق من الوجهات الخاصة أو الوجهات ذات الارتداد أو الوجهات المحلية للرابط. وهذا يسمح للمهاجم بالتأثير على خريطة الموقع التي تم استيعابها لتشير إلى عناوين داخلية، مما يؤدي إلى تزوير الطلبات من جانب الخادم (SSRF)، حيث يتم جلب الاستجابات الداخلية والكشف عنها للمتصل.

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.