CVE-2026-118668

Nome do Software Vulnerável e Versões Afetadas langgraph-api versões 0.1.2 até 0.14.9

Description Em implantações que utilizam autenticação personalizada em JavaScript ou TypeScript, o sistema pode falhar ao aplicar alterações de autorização do Store retornadas por um manipulador de autorização. Isso ocorre quando o manipulador retorna um namespace reescrito que não é transportado através do limite de tempo de execução antes da operação do Store. Consequentemente, um usuário autenticado pode acessar o namespace do Store de outro usuário, permitindo leituras, sobrescritas, pesquisas ou exclusões não autorizadas de dados. Este problema afeta especificamente implantações que dependem da reescrita de namespace para isolamento; manipuladores que rejeitam namespaces não autorizados em vez de reescrevê-los não são afetados. Manipuladores de autenticação personalizados em Python também não são afetados.

Recommendations Atualize para a versão 0.15.0 ou posterior. Como solução temporária, altere os manipuladores de autorização do Store em JavaScript ou TypeScript para rejeitar solicitações de namespaces não autorizados em vez de depender da reescrita de namespace para cada ação do Store exposta pela implantação.