Niska

langchain Server-Side Request Forgery vulnerability

Ujawniono: 26.02.2024
Aktualizacja: 11.10.2026 13:18

With the following crawler configuration:

python

from bs4 import BeautifulSoup as Soup

url = "https://example.com"
loader = RecursiveUrlLoader(
    url=url, max_depth=2, extractor=lambda x: Soup(x, "html.parser").text 
)
docs = loader.load()

An attacker in control of the contents of https://example.com could place a malicious HTML file in there with links like "https://example.completely.different/my_file.html" and the crawler would proceed to download that file as well even though prevent_outside=True.

https://github.com/langchain-ai/langchain/blob/bf0b3cc0b5ade1fb95a5b1b6fa260e99064c2e22/libs/community/langchain_community/document_loaders/recursive_url_loader.py#L51-L51

Resolved in https://github.com/langchain-ai/langchain/pull/15559

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	langchain	< 0.1.0	0.1.0
Python (PyPI)	langchain-exa	< 0.1.0	0.1.0

Odnośniki

Ocena CVSS 3.7/10

Wektor CVSS: CVSS:3.0/AV:L/AC:H/PR:H/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE): CWE-918
Platforma: Python (PyPI)
Paczka: langchain, langchain-exa
Ujawniono: 26.02.2024
Aktualizacja: 11.10.2026 13:18

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2024-235 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-h9j7-5xvc-qhg5 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-1509 - PyPA Advisory Database; CC BY 4.0

Historia podatności: langchain-exa

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 02.2024 01.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 1
Niska 1

Ujawnienia w latach

2024: 1
2025: 0
2026: 1

12.01.2026

LangChain versions up to and including 0.3.1 contain a regular expression denial-of-service (ReDoS) vulnerability in the MRKLOutputParser.parse() method (libs/langchain/langchain/agents/mrkl/output_pa

Wysoka · 7.5 CVE-2024-58340 < 1.0.0a1 1.0.0a1
26.02.2024

langchain Server-Side Request Forgery vulnerability ten wpis

Niska · 3.7 CVE-2024-0243 < 0.1.0 0.1.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację