Kritisch

LangChain Experimental Eval Injection vulnerability

Veröffentlicht: 19.09.2024
Aktualisiert: 11.10.2026 12:20

langchain_experimental (aka LangChain Experimental) 0.1.17 through 0.3.0 for LangChain allows attackers to execute arbitrary code through sympy.sympify (which uses eval) in LLMSymbolicMathChain. LLMSymbolicMathChain was introduced in fcccde406dd9e9b05fc9babcbeb9ff527b0ec0c6 (2023-10-05).

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	langchain-experimental	>= 0.1.17, <= 0.3.0	keine Korrektur

Verweise

CVSS-Wert 9.8/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE): CWE-95
Plattform: Python (PyPI)
Paket: langchain-experimental
Veröffentlicht: 19.09.2024
Aktualisiert: 11.10.2026 12:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-p2qj-r53j-h3xj - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-374 - PyPA Advisory Database; CC BY 4.0

Schwachstellenhistorie: langchain-experimental

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 5
Erste → letzte: 10.2023 09.2024
Ohne Fix: 1
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 4
Hoch 1

Veröffentlichungen pro Jahr

2023: 1
2024: 4
2025: 0
2026: 0

19.09.2024

LangChain Experimental Eval Injection vulnerability dieser Eintrag

Kritisch · 9.8 CVE-2024-46946 >= 0.1.17, <= 0.3.0 keine Korrektur
15.07.2024

Versions of the package langchain-experimental from 0.0.15 and before 0.0.21 are vulnerable to Arbitrary Code Execution when retrieving values from the database, the code will attempt to call 'eval' o

Kritisch · 8.5 CVE-2024-21513 < 0.0.21 0.0.21
16.06.2024

langchain_experimental (aka LangChain Experimental) before 0.0.61 for LangChain provides Python REPL access without an opt-in step. NOTE; this issue exists because of an incomplete fix for CVE-2024-27

Hoch · 7.8 CVE-2024-38459 < 0.0.61 0.0.61
26.02.2024

LangChain Experimental vulnerable to arbitrary code execution

Kritisch · 9.8 CVE-2024-27444 < 0.0.52 0.0.52
09.10.2023

langchain_experimental 0.0.14 allows an attacker to bypass the CVE-2023-36258 fix and execute arbitrary code via the PALChain in the python exec method.

Kritisch · 9.8 CVE-2023-44467 < 0.0.15 0.0.15

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden