@langchain/community SQL Injection vulnerability
A vulnerability in the GraphCypherQAChain class of langchain-ai/langchainjs versions 0.2.5 and all versions with this class allows for prompt injection, leading to SQL injection. This vulnerability permits unauthorized data manipulation, data exfiltration, denial of service (DoS) by deleting all data, breaches in multi-tenant security environments, and data integrity issues. Attackers can create, update, or delete nodes and relationships without proper authorization, extract sensitive data, disrupt services, access data across different tenants, and compromise the integrity of the database.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @langchain/community | < 0.3.3 | 0.3.3 |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2024-7042
- https://github.com/langchain-ai/langchainjs/commit/615b9d9ab30a2d23a2f95fb8d7acfdf4b41ad7a6
- https://github.com/langchain-ai/langchainjs
- https://github.com/pypa/advisory-database/tree/main/vulns/langchain/PYSEC-2024-114.yaml
- https://huntr.com/bounties/b612defb-1104-4fff-9fef-001ab07c7b2d
- Vector CVSS
CVSS:3.0/AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L- Debilidad (CWE)
CWE-89- Plataforma
- npm
- Paquete
@langchain/community- Publicada
- 29.10.2024
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-6m59-8fmv-m5f9 - CC BY 4.0
Historial de vulnerabilidades: @langchain/community
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 3
- Primera → última
- 10.2024 02.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Media 2
- Baja 1
Divulgaciones por año
- 2024: 1
- 2025: 0
- 2026: 2
-
@langchain/community SQL Injection vulnerability esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.