Zaloguj się
Deutsch English Español Polski
Wysoka

Langchain Community Vulnerable to XML External Entity (XXE) Attacks

  • Ujawniono: 04.09.2025
  • Aktualizacja: 11.10.2026 15:17

The langchain-ai/langchain project, specifically the EverNoteLoader component, is vulnerable to XML External Entity (XXE) attacks due to insecure XML parsing. The vulnerability arises from the use of etree.iterparse() without disabling external entity references, which can lead to sensitive information disclosure. An attacker could exploit this by crafting a malicious XML payload that references local files, potentially exposing sensitive data such as /etc/passwd. This issue has been fixed in 0.3.27 of langchain-community.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) langchain-community < 0.3.27 0.3.27

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE)
CWE-200, CWE-611
Platforma
Python (PyPI)
Paczka
langchain-community
Ujawniono
04.09.2025
Aktualizacja
11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-1515 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-pc6w-59fv-rh23 - CC BY 4.0

Historia podatności: langchain-community

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów
6
Pierwsza → ostatnia
03.2024 09.2025
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 2
  • Wysoka 1
  • Średnia 3

Ujawnienia w latach

  1. Langchain Community Vulnerable to XML External Entity (XXE) Attacks ten wpis
    Wysoka · 7.5 CVE-2025-6984 < 0.3.27 0.3.27
  2. A Server-Side Request Forgery (SSRF) vulnerability exists in the RequestsToolkit component of the langchain-community package (specifically, langchain_community.agent_toolkits.openapi.toolkit.Requests
    Krytyczna · 10.0 CVE-2025-2828 < 0.0.28 0.0.28
  3. LangChain pickle deserialization of untrusted data
    Średnia · 5.2 CVE-2024-5998 < 0.2.4 0.2.4
  4. Server-Side Request Forgery in langchain-community.retrievers.web_research.WebResearchRetriever
    Średnia · 4.8 CVE-2024-3095 < 0.2.9 0.2.9
  5. Denial of service in langchain-community
    Średnia · 4.2 CVE-2024-2965 < 0.2.5 0.2.5
  6. A vulnerability was found in LangChain langchain_community 0.0.26. It has been classified as critical. Affected is the function load_local in the library libs/community/langchain_community/retrievers/
    Krytyczna · 9.8 CVE-2024-2057 <= 0.0.26 brak poprawki

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.