CVE-2026-118668

LangGraph JavaScript custom authentication may permit cross-user Store access

CVSS 3.1High

8.6/ 10.0

Опубликовано

28 октября 2026 г.

Обновлено

29 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 0.15.0

Обновить пакет langgraph-api до версии 0.15.0 или настроить отклонение неавторизованных namespace вместо перезаписи.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

В langgraph-api JS/TS обработчики аутентификации теряют измененный namespace. Ошибка изоляции дает доступ к чужим хранилищам Store.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В langgraph-api версий 0.1.2–0.14.x перезаписанный обработчиком namespace не передается через границу рантайма перед операцией со Store.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Межпользовательская утечка данных, несанкционированное чтение, модификация, поиск и удаление записей в чужих пространствах Store.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

langchain-ailanggraph-api

>= 0.1.2➔Fix: 0.15.0

——

>= 0.1.2➔Fix: 0.15.0

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)

github.comhttps://github.com/langchain-ai/langgraph/security/advisories/GHSA-4hm6-w6qq-w73v

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-118668: LangGraph JavaScript custom authentication may permit cross-user Store access. URL: https://cve.futuretools.ru/cve/CVE-2026-118668

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_118668,
  title = {{CVE-2026-118668: LangGraph JavaScript custom authentication may permit cross-user Store access}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-118668}},
  note = {Оперативный инженерный анализ киберугроз}
}