Към съдържанието
Търсене

CVE-2026-40190: langchain-ai langsmith-sdk, инжекция

5.6

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

LangSmith Client SDKs provide SDK's for interacting with the LangSmith platform. Prior to 0.5.18, the LangSmith JavaScript/TypeScript SDK (langsmith) contains an incomplete prototype pollution fix in its internally vendored lodash set() utility. The baseAssignValue() function only guards against the __proto__ key, but fails to prevent traversal via constructor.prototype. This allows an attacker who controls keys in data processed by the createAnonymizer() API to pollute Object.prototype, affecting all objects in the Node.js process. This vulnerability is fixed in 0.5.18.

Засегнати продукти

  • langchain-ai langsmith-sdk: < 0.5.18

Вид слабост

История

  • 10 април 2026 Публикувано

Други уязвимости в langchain-ai langsmith-sdk

Първоизточници

CVE-2026-40190: langchain-ai langsmith-sdk, инжекция | freedomonline.bg