Iniciar sesión
Deutsch English Español Polski
Baja

LangChain through 0.1.10 allows ../ directory traversal by an actor who is able to control the final part of the path parameter in a load_chain call. This bypasses the intended behavior of loading con

  • Publicada: 04.03.2024
  • Actualizado: 11.10.2026 12:20

LangChain through 0.1.10 allows ../ directory traversal by an actor who is able to control the final part of the path parameter in a load_chain call. This bypasses the intended behavior of loading configurations only from the hwchase17/langchain-hub GitHub repository. The outcome can be disclosure of an API key for a large language model online service, or remote code execution. (A patch is available as of release 0.1.29 of langchain-core.)

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) langchain < 0.0.339 0.0.339
Python (PyPI) langchain-core < 0.1.11 0.1.11

Referencias

Puntuación CVSS -
Debilidad (CWE)
-
Plataforma
Python (PyPI)
Paquete
langchain, langchain-core
Publicada
04.03.2024
Actualizado
11.10.2026 12:20

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2024-43 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-h59x-p739-982c - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2024-45 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: langchain

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (22) en el archivo
Entradas en total
22
Primera → última
04.2023 06.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 12
  • Alta 4
  • Media 4
  • Baja 2

Divulgaciones por año

Gravedad:
  1. LangSmith SDK: Public prompt pull deserializes untrusted manifests without trust boundary warning
    Alta · 7.1 CVE-2026-45134 < 0.3.30 0.3.30
  2. LangChain through 0.1.10 allows ../ directory traversal by an actor who is able to control the final part of the path parameter in a load_chain call. This bypasses the intended behavior of loading con esta entrada
    Baja CVE-2024-28088 < 0.0.339 0.0.339
  3. Langchain Server-Side Request Forgery vulnerability
    Alta · 7.5 CVE-2023-32786 < 0.0.329 0.0.329
  4. Langchain SQL Injection vulnerability
    Crítica · 9.8 CVE-2023-32785 < 0.0.247 0.0.247
  5. LangChain before 0.0.317 allows SSRF via document_loaders/recursive_url_loader.py because crawling can proceed from an external server to an internal server.
    Alta · 8.8 CVE-2023-46229 < 0.0.317 0.0.317
  6. An issue in LanChain-ai Langchain v.0.0.245 allows a remote attacker to execute arbitrary code via the evaluate function in the numexpr library.
    Crítica · 9.8 CVE-2023-39631 < 0.0.308 0.0.308
  7. An issue in langchain v.0.0.171 allows a remote attacker to execute arbitrary code via the via the a json file to the load_prompt parameter.
    Crítica · 9.8 CVE-2023-36281 < 0.0.171 0.0.171
  8. An issue in Harrison Chase langchain v.0.0.194 and before allows a remote attacker to execute arbitrary code via the from_math_prompt and from_colored_object_prompt functions.
    Crítica · 9.8 CVE-2023-38896 < 0.0.195 0.0.195
  9. An issue in langchain langchain-ai v.0.0.232 and before allows a remote attacker to execute arbitrary code via a crafted script to the PythonAstREPLTool._run component.
    Crítica · 9.8 CVE-2023-39659 < 0.0.233 0.0.233
  10. An issue in LangChain v.0.0.231 allows a remote attacker to execute arbitrary code via the prompt parameter.
    Crítica · 9.8 CVE-2023-38860 < 0.0.247 0.0.247
  11. An issue in Harrison Chase langchain v.0.0.194 allows an attacker to execute arbitrary code via the python exec calls in the PALChain, affected functions include from_math_prompt and from_colored_obje
    Crítica · 9.8 CVE-2023-36095 < 0.0.236 0.0.236
  12. SQL injection vulnerability in langchain v.0.0.64 allows a remote attacker to obtain sensitive information via the SQLDatabaseChain component.
    Alta · 7.5 CVE-2023-36189 < 0.0.247 0.0.247
  13. langchain vulnerable to arbitrary code execution
    Crítica · 9.8 CVE-2023-36188 < 0.0.247 0.0.247
  14. An issue in langchain v.0.0.199 allows an attacker to execute arbitrary code via the PALChain in the python exec method.
    Crítica · 9.8 CVE-2023-36258 < 0.0.247 0.0.247
  15. Langchain 0.0.171 is vulnerable to Arbitrary code execution in load_prompt.
    Crítica · 9.8 CVE-2023-34541 < 0.0.247 0.0.247
  16. Langchain 0.0.171 is vulnerable to Arbitrary Code Execution.
    Crítica · 9.8 CVE-2023-34540 < 0.0.225 0.0.225
  17. In LangChain through 0.0.131, the LLMMathChain chain allows prompt injection attacks that can execute arbitrary code via the Python exec method.
    Crítica · 9.8 CVE-2023-29374 < 0.0.132 0.0.132

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.