CVE-2026-115883

Nome do Software Vulnerável e Versões Afetadas langgraph-checkpoint-postgres versões anteriores a 3.1.3 langgraph-checkpoint-sqlite versões anteriores a 3.1.2

Description PostgresStore, AsyncPostgresStore, SqliteStore e AsyncSqliteStore achatam os rótulos de namespace usando ".".join(namespace), o que permite que um rótulo contendo um ponto seja resolvido para o namespace armazenado de outro locatário. Embora put() e aput() validem os rótulos, outros métodos como get(), search(), delete(), list namespaces() e seus equivalentes assíncronos, bem como operações diretas batch() e abatch(), não realizam essa validação. Um invasor que forneça um rótulo manipulado contendo pontos pode realizar leituras, sobrescritas ou exclusões de dados de outro locatário entre namespaces.

Recommendations Atualize o langgraph-checkpoint-postgres para a versão 3.1.3. Atualize o langgraph-checkpoint-sqlite para a versão 3.1.2.