CVE-2026-25528
ŚrednieStreszczenie
SDK LangSmith do interakcji z platformą LangSmith ma podatność na atak typu Server-Side Request Forgery (SSRF) poprzez złośliwe nagłówki HTTP. Atakujący może wstrzyknąć dowolne wartości api_url przez nagłówek baggage, co prowadzi do nieautoryzowanego dostępu.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do ujawnienia wrażliwych danych lub umożliwić atakującemu wykonanie nieautoryzowanych żądań w imieniu serwera. To stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych organizacji.
Rekomendacja
Zaleca się aktualizację SDK LangSmith do najnowszej wersji, która naprawia tę podatność. Dodatkowo, należy wprowadzić walidację nagłówków HTTP, aby zminimalizować ryzyko wstrzykiwania złośliwych danych.
Oryginalny opis (angielski, źródło NVD)
LangSmith Client SDKs provide SDK's for interacting with the LangSmith platform. The LangSmith SDK's distributed tracing feature is vulnerable to Server-Side Request Forgery via malicious HTTP headers. An attacker can inject arbitrary api_url values through the baggage header, causing the SDK to exf