EventPast event
LangChain MongoDB 会话历史查询注入漏洞
Start here
AI overview
LangChain 的 MongoDBChatMessageHistory 组件未在运行时强制校验会话标识符的字符串类型，结构化会话标识符可能被当作 MongoDB 查询条件而非字面标识符执行。当应用把不可信的会话标识符输入传给该组件、且在同一集合中存储多个用户的历史记录时，攻击者可读取、修改或删除其他用户存储的对话。该问题已在 @langchain/mongodb 1.3.1 版本修复，补丁在运行时校验会话标识符并确保其以字面值参与查询。
Generated by AI from reports · Updated 5 days ago
Latest update
LangChain 修复 MongoDBChatMessageHistory 查询注入漏洞Progress timeline
Oct 9
- GitHub 安全公告SelectedLangChain 修复 MongoDBChatMessageHistory 查询注入漏洞
LangChain 的 MongoDBChatMessageHistory 组件未在运行时强制校验会话标识符的字符串类型，结构化会话标识符可能被当作 MongoDB 查询条件而非字面标识符执行。当应用把不可信的会话标识符输入传给该组件、且在同一集合中存储多个用户的历史记录时，攻击者可读取、修改或删除其他用户存储的对话。该问题已在 @langchain/mongodb 1.3.1 版本修复，补丁在运行时校验会话标识符并确保其以字面值参与查询；无法立即升级的应用应拒绝非空字符串以外的会话标识符，并确保标识符来自经过认证的服务端可控值。
Related discussion
Attention trend
New sources per day
- Oct 9: 1 new sources (1 outlets, 0 accounts)
- Oct 10: 0 new sources (0 outlets, 0 accounts)
- Oct 11: 0 new sources (0 outlets, 0 accounts)
- Oct 12: 0 new sources (0 outlets, 0 accounts)
- Oct 13: 0 new sources (0 outlets, 0 accounts)
- Oct 14: 0 new sources (0 outlets, 0 accounts)