CVE-2024-7774
MediumSummary
W wersji 0.2.5 biblioteki langchain-ai/langchainjs występuje podatność na traversowanie ścieżek w metodzie `getFullPath`. Umożliwia to atakującym zapisywanie plików w dowolnym miejscu w systemie plików, nadpisywanie istniejących plików tekstowych, odczytywanie plików `.txt` oraz usuwanie plików.
Risk Assessment
Podatność ta stwarza poważne ryzyko dla integralności i poufności danych w systemie, umożliwiając atakującym manipulację plikami w systemie plików.
Recommendation
Zaleca się aktualizację biblioteki langchain-ai/langchainjs do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie odpowiednich zabezpieczeń w celu ograniczenia dostępu do systemu plików.
Original NVD description (English source)
A path traversal vulnerability exists in the `getFullPath` method of langchain-ai/langchainjs version 0.2.5. This vulnerability allows attackers to save files anywhere in the filesystem, overwrite existing text files, read `.txt` files, and delete files. The vulnerability is exploited through the `s