CVE-2026-48121

Nome do Software Vulnerável e Versões Afetadas @langchain/langgraph-checkpoint-mongodb versões anteriores a 1.3.1

Description Um problema de injeção NoSQL existe na função MongoDBSaver.getTuple(). O software não aplica a validação de tipo para identificadores de checkpoint passados via config.configurable, especificamente as variáveis thread id, checkpoint ns e checkpoint id. Se um invasor fornecer um objeto contendo operadores MongoDB (como $gt ou $ne) em vez de uma string, o sistema interpreta esses valores como operadores de consulta. Isso permite que um invasor ignore o escopo da thread e vaze dados sensíveis, incluindo estado de checkpoint, metadados e gravações pendentes, entre diferentes locatários. Este risco está presente principalmente em ambientes multi-tenant ou de isolamento de usuário onde entradas não confiáveis são encaminhadas para a configuração sem coerção para string ou validação de esquema.

Recommendations Atualize o @langchain/langgraph-checkpoint-mongodb para a versão 1.3.1 ou posterior. Valide os campos de identificação nos limites da API para garantir que sejam strings e evite passar objetos brutos de clientes para a configuração do grafo.