Crítica

LangChain Experimental Eval Injection vulnerability

Publicada: 19.09.2024
Actualizado: 11.10.2026 12:20

langchain_experimental (aka LangChain Experimental) 0.1.17 through 0.3.0 for LangChain allows attackers to execute arbitrary code through sympy.sympify (which uses eval) in LLMSymbolicMathChain. LLMSymbolicMathChain was introduced in fcccde406dd9e9b05fc9babcbeb9ff527b0ec0c6 (2023-10-05).

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	langchain-experimental	>= 0.1.17, <= 0.3.0	sin corrección

Referencias

Puntuación CVSS 9.8/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE): CWE-95
Plataforma: Python (PyPI)
Paquete: langchain-experimental
Publicada: 19.09.2024
Actualizado: 11.10.2026 12:20

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-p2qj-r53j-h3xj - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-374 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: langchain-experimental

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 5
Primera → última: 10.2023 09.2024
Sin corrección: 1
Explotada en ataques: 0

Distribución por gravedad

Crítica 4
Alta 1

Divulgaciones por año

2023: 1
2024: 4
2025: 0
2026: 0

19.09.2024

LangChain Experimental Eval Injection vulnerability esta entrada

Crítica · 9.8 CVE-2024-46946 >= 0.1.17, <= 0.3.0 sin corrección
15.07.2024

Versions of the package langchain-experimental from 0.0.15 and before 0.0.21 are vulnerable to Arbitrary Code Execution when retrieving values from the database, the code will attempt to call 'eval' o

Crítica · 8.5 CVE-2024-21513 < 0.0.21 0.0.21
16.06.2024

langchain_experimental (aka LangChain Experimental) before 0.0.61 for LangChain provides Python REPL access without an opt-in step. NOTE; this issue exists because of an incomplete fix for CVE-2024-27

Alta · 7.8 CVE-2024-38459 < 0.0.61 0.0.61
26.02.2024

LangChain Experimental vulnerable to arbitrary code execution

Crítica · 9.8 CVE-2024-27444 < 0.0.52 0.0.52
09.10.2023

langchain_experimental 0.0.14 allows an attacker to bypass the CVE-2023-36258 fix and execute arbitrary code via the PALChain in the python exec method.

Crítica · 9.8 CVE-2023-44467 < 0.0.15 0.0.15

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación