事件历史事件
LangChain Redis 过滤器注入漏洞
先了解这件事
AI 综述
GitHub 安全公告披露，@langchain/redis 未正确转义用于构造 RediSearch TAG 和 TEXT 结构化过滤器的值，攻击者若能控制传入这些过滤器的值，即可注入 RediSearch 语法，改变或扩大搜索查询范围。1.1.0 及之前版本受影响；若应用把可被攻击者影响的过滤器用作租户或文档访问边界，可能暴露预期范围之外的索引文档。修复版本为 1.1.1 及之后，修复措施包括转义 RediSearch 特殊字符、校验过滤值。
AI 根据报道生成 · 4 天前更新
后续时间线
10月6日
- GitHub 安全公告精选LangChain 修复 @langchain/redis 的 RediSearch 过滤注入漏洞
GitHub 安全公告披露 @langchain/redis 未正确转义用于构造 RediSearch TAG 和 TEXT 结构化过滤器的值，攻击者若能控制传入这些过滤器的值，即可注入 RediSearch 语法，改变或扩大搜索查询范围。1.1.0 及之前版本受影响；若应用把可被攻击者影响的过滤器用作租户或文档访问边界，可能暴露预期范围之外的索引文档。修复版本为 1.1.1 及之后，修复措施包括转义 RediSearch 特殊字符、校验字段名与结构化过滤器类型，并将这些保护覆盖到流式过滤器构造器和自定义 schema 查询构造。该问题由 @thesanjok 和 @shovanchakraborty 报告。
相关讨论
关注度走势
每天新增来源
- 10月6日新增1个来源（1家媒体、0个账号）
- 10月7日新增0个来源（0家媒体、0个账号）
- 10月8日新增0个来源（0家媒体、0个账号）
- 10月9日新增0个来源（0家媒体、0个账号）
- 10月10日新增0个来源（0家媒体、0个账号）
- 10月11日新增0个来源（0家媒体、0个账号）
- 10月12日新增0个来源（0家媒体、0个账号）
- 10月13日新增0个来源（0家媒体、0个账号）
- 10月14日新增0个来源（0家媒体、0个账号）