Krytyczna

LangChain Experimental Eval Injection vulnerability

Ujawniono: 19.09.2024
Aktualizacja: 11.10.2026 12:20

langchain_experimental (aka LangChain Experimental) 0.1.17 through 0.3.0 for LangChain allows attackers to execute arbitrary code through sympy.sympify (which uses eval) in LLMSymbolicMathChain. LLMSymbolicMathChain was introduced in fcccde406dd9e9b05fc9babcbeb9ff527b0ec0c6 (2023-10-05).

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	langchain-experimental	>= 0.1.17, <= 0.3.0	brak poprawki

Odnośniki

Ocena CVSS 9.8/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE): CWE-95
Platforma: Python (PyPI)
Paczka: langchain-experimental
Ujawniono: 19.09.2024
Aktualizacja: 11.10.2026 12:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-p2qj-r53j-h3xj - CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-374 - PyPA Advisory Database; CC BY 4.0

Historia podatności: langchain-experimental

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 5
Pierwsza → ostatnia: 10.2023 09.2024
Bez poprawki: 1
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 4
Wysoka 1

Ujawnienia w latach

2023: 1
2024: 4
2025: 0
2026: 0

19.09.2024

LangChain Experimental Eval Injection vulnerability ten wpis

Krytyczna · 9.8 CVE-2024-46946 >= 0.1.17, <= 0.3.0 brak poprawki
15.07.2024

Versions of the package langchain-experimental from 0.0.15 and before 0.0.21 are vulnerable to Arbitrary Code Execution when retrieving values from the database, the code will attempt to call 'eval' o

Krytyczna · 8.5 CVE-2024-21513 < 0.0.21 0.0.21
16.06.2024

langchain_experimental (aka LangChain Experimental) before 0.0.61 for LangChain provides Python REPL access without an opt-in step. NOTE; this issue exists because of an incomplete fix for CVE-2024-27

Wysoka · 7.8 CVE-2024-38459 < 0.0.61 0.0.61
26.02.2024

LangChain Experimental vulnerable to arbitrary code execution

Krytyczna · 9.8 CVE-2024-27444 < 0.0.52 0.0.52
09.10.2023

langchain_experimental 0.0.14 allows an attacker to bypass the CVE-2023-36258 fix and execute arbitrary code via the PALChain in the python exec method.

Krytyczna · 9.8 CVE-2023-44467 < 0.0.15 0.0.15

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację