Langchain Community Vulnerable to XML External Entity (XXE) Attacks
The langchain-ai/langchain project, specifically the EverNoteLoader component, is vulnerable to XML External Entity (XXE) attacks due to insecure XML parsing. The vulnerability arises from the use of etree.iterparse() without disabling external entity references, which can lead to sensitive information disclosure. An attacker could exploit this by crafting a malicious XML payload that references local files, potentially exposing sensitive data such as /etc/passwd. This issue has been fixed in 0.3.27 of langchain-community.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | langchain-community | < 0.3.27 | 0.3.27 |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2025-6984
- https://github.com/langchain-ai/langchain-community/commit/e842452108089524e22c3a2ced851c021884556f
- https://github.com/langchain-ai/langchain-community
- https://github.com/langchain-ai/langchain/blob/d79b5813a0b3b243c612b77013768995e46c4337/libs/langchain/langchain/document_loaders/evernote.py#L1-L23
- https://huntr.com/bounties/a6b521cf-258c-41c0-9edb-d8ef976abb2a
- https://pypi.org/project/langchain-community
- https://github.com/advisories/GHSA-pc6w-59fv-rh23
- Vector CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N- Debilidad (CWE)
CWE-200, CWE-611- Plataforma
- Python (PyPI)
- Paquete
langchain-community- Publicada
- 04.09.2025
- Actualizado
- 11.10.2026 15:17
Fuentes y licencias
OSV / GitHub Advisory Database - PYSEC-2026-1515 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-pc6w-59fv-rh23 - CC BY 4.0
Historial de vulnerabilidades: langchain-community
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 6
- Primera → última
- 03.2024 09.2025
- Sin corrección
- 1
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
- Alta 1
- Media 3
Divulgaciones por año
- 2024: 4
- 2025: 2
- 2026: 0
-
Langchain Community Vulnerable to XML External Entity (XXE) Attacks esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.