p PatchFirst

CVE-2024-7774

CVE-2024-7774 · Path Traversal in langchain-ai/langchainjs

CVSS 6.5 · Средний · EPSS 0,6% · Есть исправление

Затронуты ли вы?

Как узнать установленную версию:

npm ls langchain

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания langchain-ai/langchainjs и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

A path traversal vulnerability exists in the `getFullPath` method of langchain-ai/langchainjs version 0.2.5. This vulnerability allows attackers to save files anywhere in the filesystem, overwrite existing text files, read `.txt` files, and delete files. The vulnerability is exploited through the `setFileContent`, `getParsedFile`, and `mdelete` methods, which do not properly sanitize user input.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • langchain-ai/langchainjs

    Версии
    • ≥ unspecified, < 0.2.19: Затронуто (custom)

    Обновитесь до 0.2.19

  • langchain npm

    Затронутые диапазоны версий
    • SEMVER: < 0.2.19

    Обновитесь до 0.2.19

Первоисточники

Проверьте свой сервер →