CVE-2024-7774
ŚrednieStreszczenie
W wersji 0.2.5 biblioteki langchain-ai/langchainjs występuje podatność na traversowanie ścieżek w metodzie `getFullPath`. Umożliwia to atakującym zapisywanie plików w dowolnym miejscu w systemie plików, nadpisywanie istniejących plików tekstowych, odczytywanie plików `.txt` oraz usuwanie plików.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla integralności i poufności danych w systemie, umożliwiając atakującym manipulację plikami w systemie plików.
Rekomendacja
Zaleca się aktualizację biblioteki langchain-ai/langchainjs do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie odpowiednich zabezpieczeń w celu ograniczenia dostępu do systemu plików.
Oryginalny opis (angielski, źródło NVD)
A path traversal vulnerability exists in the `getFullPath` method of langchain-ai/langchainjs version 0.2.5. This vulnerability allows attackers to save files anywhere in the filesystem, overwrite existing text files, read `.txt` files, and delete files. The vulnerability is exploited through the `s