BDU:2025-14560

Опубликовано: 05 мая 2025

Источник: fstec

CVSS3: 9.1

CVSS2: 9.4

EPSS Низкий

Описание

Уязвимость класса XMLToolMessage python-фреймворка для разработки приложений langroid связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании или раскрыть защищаемую информацию

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

langroid

Версия ПО

до 0.53.4 (langroid)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,1)

Высокий уровень опасности (оценка CVSS 4.0 составляет 7,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/langroid/langroid/releases/tag/0.53.4

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-46726
CVE

EPSS

Процентиль: 35%

0.00145

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

CVE-2025-46726

CVSS3: 9.1

nvd

9 месяцев назад

Langroid is a framework for building large-language-model-powered applications. Prior to version 0.53.4, a LLM application leveraging `XMLToolMessage` class may be exposed to untrusted XML input that could result in DoS and/or exposing local files with sensitive information. Version 0.53.4 fixes the issue.

GHSA-pw95-88fg-3j6f

github