Siewer

O ConvertX é um conversor de arquivos online auto-hospedado. O endpoint `POST /delete` utiliza um valor de `filename` controlado pelo usuário para construir um caminho do sistema de arquivos e o exclui via função `unlink` sem validação suficiente. Um atacante pode fornecer sequências de path traversal (por exemplo, `../`) no parâmetro `filename` para excluir arquivos arbitrários fora do diretório de uploads destinado, limitado pelas permissões do processo do servidor. O parâmetro vulnerável é `filename`.

O LangChain é um framework projetado para construir aplicações alimentadas por Modelos de Linguagem de Grande Porte (LLMs). Existe um problema de serialização no método `toJSON()` do LangChain JS, impactando versões anteriores a 0.3.37 e 1.2.3 para o LangChain, e anteriores a 0.3.80 e 1.1.8 para o @langchain/core. Este problema surge porque o método não escapa corretamente objetos contendo chaves 'lc' ao serializar dados usando `JSON.stringify()`. A chave 'lc' é usada internamente pelo LangChain para identificar objetos serializados. Se os dados fornecidos pelo usuário incluírem esta estrutura de chave, eles podem ser interpretados incorretamente como um objeto LangChain legítimo durante a desserialização, em vez de serem tratados como dados simples do usuário. Isso poderia potencialmente levar ao acesso não autorizado ou manipulação de dados.