Niedrig

langchain Server-Side Request Forgery vulnerability

Veröffentlicht: 26.02.2024
Aktualisiert: 11.10.2026 13:18

With the following crawler configuration:

python

from bs4 import BeautifulSoup as Soup

url = "https://example.com"
loader = RecursiveUrlLoader(
    url=url, max_depth=2, extractor=lambda x: Soup(x, "html.parser").text 
)
docs = loader.load()

An attacker in control of the contents of https://example.com could place a malicious HTML file in there with links like "https://example.completely.different/my_file.html" and the crawler would proceed to download that file as well even though prevent_outside=True.

https://github.com/langchain-ai/langchain/blob/bf0b3cc0b5ade1fb95a5b1b6fa260e99064c2e22/libs/community/langchain_community/document_loaders/recursive_url_loader.py#L51-L51

Resolved in https://github.com/langchain-ai/langchain/pull/15559

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	langchain	< 0.1.0	0.1.0
Python (PyPI)	langchain-exa	< 0.1.0	0.1.0

Verweise

CVSS-Wert 3.7/10

CVSS-Vektor: CVSS:3.0/AV:L/AC:H/PR:H/UI:R/S:C/C:L/I:L/A:N
Schwäche (CWE): CWE-918
Plattform: Python (PyPI)
Paket: langchain, langchain-exa
Veröffentlicht: 26.02.2024
Aktualisiert: 11.10.2026 13:18

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2024-235 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-h9j7-5xvc-qhg5 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-1509 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: langchain-exa

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 2
Erste → letzte: 02.2024 01.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Niedrig 1

Veröffentlichungen pro Jahr

2024: 1
2025: 0
2026: 1

12.01.2026

LangChain versions up to and including 0.3.1 contain a regular expression denial-of-service (ReDoS) vulnerability in the MRKLOutputParser.parse() method (libs/langchain/langchain/agents/mrkl/output_pa

Hoch · 7.5 CVE-2024-58340 < 1.0.0a1 1.0.0a1
26.02.2024

langchain Server-Side Request Forgery vulnerability dieser Eintrag

Niedrig · 3.7 CVE-2024-0243 < 0.1.0 0.1.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden