CVE-2024-58340 (CNNVD-202601-1883)
中文标题:
LangChain 安全漏洞
英文标题:
LangChain versions up to and including 0.3.1 contain a regular expression denial-of-service (ReDoS)
漏洞描述
中文描述:
LangChain是LangChain开源的一个用于开发由大型语言模型 （LLM） 提供支持的应用程序的框架。 LangChain 0.3.1及之前版本存在安全漏洞，该漏洞源于MRKLOutputParser.parse方法使用易受回溯攻击的正则表达式，可能导致正则表达式拒绝服务攻击。
英文描述:
LangChain versions up to and including 0.3.1 contain a regular expression denial-of-service (ReDoS) vulnerability in the MRKLOutputParser.parse() method (libs/langchain/langchain/agents/mrkl/output_parser.py). The parser applies a backtracking-prone regular expression when extracting tool actions from model output. An attacker who can supply or influence the parsed text (for example via prompt injection in downstream applications that pass LLM output directly into MRKLOutputParser.parse()) can trigger excessive CPU consumption by providing a crafted payload, causing significant parsing delays and a denial-of-service condition.
CWE类型:
标签:
受影响产品
| 厂商 | 产品 | 版本 | 版本范围 | 平台 | CPE |
|---|---|---|---|---|---|
| LangChain AI | LangChain | - | ≤ 0.3.1 | - |
cpe:2.3:a:langchain_ai:langchain:*:*:*:*:*:*:*:*
|
解决方案
中文解决方案:
英文解决方案:
临时解决方案:
CVSS评分详情
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
时间信息
利用信息
数据源详情
| 数据源 | 记录ID | 版本 | 提取时间 |
|---|---|---|---|
| NVD | nvd_CVE-2024-58340 |
2026-01-13 03:00:04 | 2026-01-13 06:36:16 |
| CVE | cve_CVE-2024-58340 |
2026-01-13 07:33:19 | 2026-01-13 07:40:53 |
| CNNVD | cnnvd_CNNVD-202601-1883 |
2026-01-15 01:52:31 | 2026-01-15 01:53:12 |
版本与语言
安全公告
变更历史
查看详细变更
- vulnerability_type: 未提取 -> 其他
- cnnvd_id: 未提取 -> CNNVD-202601-1883
- data_sources: ['cve', 'nvd'] -> ['cnnvd', 'cve', 'nvd']
查看详细变更
- severity: SeverityLevel.UNKNOWN -> SeverityLevel.HIGH
- cvss_score: 未提取 -> 8.7
- cvss_vector: 未提取 -> CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
- cvss_version: 未提取 -> 4.0
- affected_products_count: 0 -> 1
- data_sources: ['nvd'] -> ['cve', 'nvd']