Baja

langchain Server-Side Request Forgery vulnerability

Publicada: 26.02.2024
Actualizado: 11.10.2026 13:18

With the following crawler configuration:

python

from bs4 import BeautifulSoup as Soup

url = "https://example.com"
loader = RecursiveUrlLoader(
    url=url, max_depth=2, extractor=lambda x: Soup(x, "html.parser").text 
)
docs = loader.load()

An attacker in control of the contents of https://example.com could place a malicious HTML file in there with links like "https://example.completely.different/my_file.html" and the crawler would proceed to download that file as well even though prevent_outside=True.

https://github.com/langchain-ai/langchain/blob/bf0b3cc0b5ade1fb95a5b1b6fa260e99064c2e22/libs/community/langchain_community/document_loaders/recursive_url_loader.py#L51-L51

Resolved in https://github.com/langchain-ai/langchain/pull/15559

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	langchain	< 0.1.0	0.1.0
Python (PyPI)	langchain-exa	< 0.1.0	0.1.0

Referencias

Puntuación CVSS 3.7/10

Vector CVSS: CVSS:3.0/AV:L/AC:H/PR:H/UI:R/S:C/C:L/I:L/A:N
Debilidad (CWE): CWE-918
Plataforma: Python (PyPI)
Paquete: langchain, langchain-exa
Publicada: 26.02.2024
Actualizado: 11.10.2026 13:18

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2024-235 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-h9j7-5xvc-qhg5 - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-1509 - PyPA Advisory Database; CC BY 4.0

Historial de vulnerabilidades: langchain-exa

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 2
Primera → última: 02.2024 01.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 1
Baja 1

Divulgaciones por año

2024: 1
2025: 0
2026: 1

12.01.2026

LangChain versions up to and including 0.3.1 contain a regular expression denial-of-service (ReDoS) vulnerability in the MRKLOutputParser.parse() method (libs/langchain/langchain/agents/mrkl/output_pa

Alta · 7.5 CVE-2024-58340 < 1.0.0a1 1.0.0a1
26.02.2024

langchain Server-Side Request Forgery vulnerability esta entrada

Baja · 3.7 CVE-2024-0243 < 0.1.0 0.1.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación