Yardenporat353

O LangChain contém caminhos de código de tempo de execução que desserializam entradas, saídas ou outras cargas controladas pela aplicação usando listas de permissão de objetos excessivamente amplas, especificamente chamando `load()` com `allowed objects="all"`. Isso permite que dicionários de construtores serializados fornecidos por atacantes instanciem classes confiáveis com argumentos não confiáveis. Este problema pode levar ao Server-Side Request Forgery (SSRF), permitindo o acesso a serviços internos, endpoints de metadados de nuvem ou recursos de rede sensíveis, o que pode resultar no roubo de credenciais e comprometimento persistente da cadeia de suprimentos. As aplicações estão expostas se aceitarem entradas estruturadas não confiáveis (como JSON) sem validação, preservarem dicionários ou listas aninhadas controladas por atacantes nos dados de execução e utilizarem caminhos de API afetados. As superfícies afetadas conhecidas incluem a classe `RunnableWithMessageHistory`, a função `astream log()` e a função `astream events(version="v1")`. Além disso, uma falha de validação de marcador de segredo na função ` is lc secret` permite que dicionários de construtores evitem a filtragem durante ciclos de `dumps()` para `loads()`.

Os mecanismos de checkpoint do LangGraph podem carregar checkpoints codificados em msgpack que reconstruem objetos Python durante a desserialização. Se um atacante obtiver acesso de gravação privilegiado ao repositório de dados de checkpoint (por exemplo, após um comprometimento do banco de dados), ele poderá fornecer uma carga maliciosa que dispara a reconstrução insegura de objetos ao carregar o checkpoint. Este é considerado um problema pós-exploração, que potencialmente permite ao atacante elevar o acesso de gravação ao repositório de checkpoint para execução de código dentro do tempo de execução da aplicação, possivelmente expondo segredos do tempo de execução ou fornecendo acesso a outros sistemas. A exploração requer a capacidade de escrever bytes de checkpoint controlados pelo atacante em repouso. Não há evidências de exploração na prática. O problema pode levar à execução arbitrária de código ou outros efeitos colaterais inseguros durante a desserialização do checkpoint. A vulnerabilidade requer que o atacante seja capaz de modificar os bytes de checkpoint persistidos ou comprometer um componente confiável que os escreve.

Existe uma vulnerabilidade de injeção de consulta nas classes RedisSaver e ShallowRedisSaver do pacote @langchain/langgraph-checkpoint-redis. Essas classes constroem consultas RediSearch incorporando diretamente chaves e valores de filtro fornecidos pelo usuário sem sanitização suficiente. O RediSearch utiliza caracteres especiais que podem alterar o comportamento da consulta. Quando dados controlados pelo usuário incluem esses caracteres, a lógica da consulta pode ser manipulada, potencialmente contornando os controles de acesso previstos. A vulnerabilidade ocorre devido à interpolação direta de chaves e valores de filtro fornecidos pelo usuário nas consultas RediSearch sem o escape adequado.

O Pillow é uma biblioteca de imagens para Python. Um problema de escrita fora dos limites pode ocorrer ao carregar uma imagem PSD especialmente criada. Esta falha existe no manipulador de Documentos do Photoshop (PSD) do Pillow. O problema afeta as versões do Pillow 10.3.0 e posteriores.

As funções `dumps()` e `dumpd()` do LangChain estão suscetíveis a um problema de injeção de serialização. Essas funções não escapam corretamente dicionários contendo chaves 'lc' ao serializar dados. A chave 'lc' é usada internamente pelo LangChain para identificar objetos serializados. Quando dados controlados pelo usuário incluem essa estrutura de chave, eles são incorretamente tratados como um objeto legítimo do LangChain durante a desserialização, em vez de serem reconhecidos como dados simples do usuário. Isso pode levar à extração de informações sensíveis, como variáveis de ambiente, e potencialmente permitir a execução de código arbitrário. A vulnerabilidade é particularmente perigosa quando respostas de LLM influenciam dados serializados, pois a injeção de prompt pode ser usada para explorar essa falha. O problema afeta vários componentes, incluindo `astream events(version="v1")`, `Runnable.astream log()`, e cenários envolvendo a desserialização de dados não confiáveis.

O LangChain é um framework projetado para construir aplicações alimentadas por Modelos de Linguagem de Grande Porte (LLMs). Existe um problema de serialização no método `toJSON()` do LangChain JS, impactando versões anteriores a 0.3.37 e 1.2.3 para o LangChain, e anteriores a 0.3.80 e 1.1.8 para o @langchain/core. Este problema surge porque o método não escapa corretamente objetos contendo chaves 'lc' ao serializar dados usando `JSON.stringify()`. A chave 'lc' é usada internamente pelo LangChain para identificar objetos serializados. Se os dados fornecidos pelo usuário incluírem esta estrutura de chave, eles podem ser interpretados incorretamente como um objeto LangChain legítimo durante a desserialização, em vez de serem tratados como dados simples do usuário. Isso poderia potencialmente levar ao acesso não autorizado ou manipulação de dados.