CVE-2026-51884

Langchain-Chatchat do wersji 0.3.1.3 udostępnia endpoint POST /tools/call, który wywołuje dowolne zarejestrowane narzędzie po nazwie bez uwierzytelniania, pozostawiając zawsze zarejestrowane narzędzie shell możliwe do wywołania. Zdalni atakujący mogą wysłać pojedyncze żądanie wskazujące narzędzie shell, aby wykonać dowolne polecenia systemowe jako użytkownik serwera (root w dostarczonym obrazie Docker).

Podatność typu path traversal w interfejsach tworzenia bazy wiedzy i przesyłania dokumentów w Langchain-Chatchat 0.3.0 i 0.3.1. Atakujący może wstrzyknąć sekwencje typu `..\` do parametru `knowledge_base_name`, aby zapisywać zawartość bazy wiedzy poza skonfigurowanym katalogiem głównym.

Podatność typu path traversal w endpointcie `/v1/files` zgodnym z OpenAI w Langchain-Chatchat 0.3.0. Atakujący może zapisywać pliki w dowolnych lokalizacjach poza katalogiem `openai_files`, używając złośliwych nazw plików.

W projekcie Langchain-Chatchat do wersji 0.3.1.3 wykryto podatność w funkcji _get_file_id w komponencie Uploaded File Handler. Generowane wartości są niewystarczająco losowe, co może umożliwić atakującemu przewidzenie identyfikatorów plików. Atak wymaga dostępu do sieci lokalnej i jest trudny do przeprowadzenia.

W Langchain-Chatchat do wersji 0.3.1.3 w komponencie OpenAI-Compatible File Upload API występuje podatność typu time-of-check time-of-use (TOCTOU) przy przetwarzaniu argumentu file.filename. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.

W Langchain-Chatchat do wersji 0.3.1.3 wykryto podatność w funkcji PIL.Image.tobytes pliku dialogue.py w komponencie Vision Chat Paste Image Handler. Manipulacja argumentu paste_image.image_data prowadzi do użycia słabego hasha. Atak wymaga dostępu do sieci lokalnej i jest trudny do wykorzystania.

W projekcie Langchain-Chatchat do wersji 0.3.1.3 wykryto podatność polegającą na braku uwierzytelnienia w komponencie Compatible File Service. Funkcje files/list_files/retrieve_file/retrieve_file_content/delete_file w pliku openai_routes.py nie wymagają uwierzytelnienia. Atak wymaga dostępu do sieci lokalnej. Exploit jest publicznie dostępny.