CVE-2026-106119
LangChain: MongoDBChatMessageHistory query injection can allow cross-session access
CVSS 3.1Medium
6.0/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.5.14, 1.3.1
Обновите библиотеку LangChain до версии 1.3.1 или выше. Либо используйте строго валидированные строковые ID на стороне сервера.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Инъекция запросов MongoDB в классе MongoDBChatMessageHistory фреймворка LangChain.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Отсутствие принудительной валидации строкового типа для сессионного идентификатора в рантайме MongoDBChatMessageHistory. Недоверенный структурированный ввод интерпретируется драйвером как условие поискового запроса MongoDB, а не литерал.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Межсессионный доступ к общим коллекциям MongoDB: несанкционированное чтение, модификация или полное удаление истории диалогов чужих пользователей.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
langchain-ailangchainjs
все ранние➔Fix: 1.5.14
@langchainmongodb
все ранние➔Fix: 1.3.1
——
>= 0➔Fix: 1.3.1
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/langchain-ai/langchainjs/security/advisories/GHSA-m6rx-h84q-8r95
- github.comhttps://github.com/langchain-ai/langchainjs/pull/11672
- github.comhttps://github.com/langchain-ai/langchainjs/commit/946e3d856ff1f8ce7f7b9374c83f680a6ada79af
- github.comhttps://github.com/langchain-ai/langchainjs/releases/tag/@langchain/mongodb@1.3.1
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-106119: LangChain: MongoDBChatMessageHistory query injection can allow cross-session access. URL: https://cve.futuretools.ru/cve/CVE-2026-106119
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_106119,
title = {{CVE-2026-106119: LangChain: MongoDBChatMessageHistory query injection can allow cross-session access}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-106119}},
note = {Оперативный инженерный анализ киберугроз}
}