CVE-2023-36095
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece LangChain w wersji 0.0.194 umożliwia zdalne wykonanie dowolnego kodu poprzez funkcje from_math_prompt i from_colored_object_prompt w klasie PALChain. Atakujący może wykorzystać mechanizm eval do wstrzyknięcia złośliwego kodu Python.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad systemem, kradzież danych lub zakłócenie działania aplikacji wykorzystujących LangChain z podatną wersją.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki LangChain do wersji nowszej niż 0.0.194 oraz ograniczenie dostępu do funkcji PALChain w środowisku produkcyjnym.
Oryginalny opis (angielski, źródło NVD)
An issue in Harrison Chase langchain v.0.0.194 allows an attacker to execute arbitrary code via the python exec calls in the PALChain, affected functions include from_math_prompt and from_colored_object_prompt.