CVE-2025-6984

Nome do Software Vulnerável e Versões Afetadas langchain-ai/langchain versão 0.3.63

Descrição O componente EverNoteLoader está suscetível a ataques de Entidade Externa XML (XXE) devido a uma análise XML insegura. Este problema decorre do uso de etree.iterparse() sem desativar referências de entidades externas, o que pode levar potencialmente à divulgação de informações sensíveis. Um atacante poderia explorar essa vulnerabilidade criando um payload XML malicioso que referencia arquivos locais, como /etc/passwd, expondo potencialmente dados sensíveis.

Recomendações Atualize o langchain-ai/langchain para uma versão na qual este problema foi corrigido. Como medida temporária, considere desativar o uso do componente EverNoteLoader até que uma correção esteja disponível.