Vulnerabilidad en Langroid (CVE-2025-46725)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-94
Control incorrecto de generación de código (Inyección de código)
Fecha de publicación:
20/05/2025
Última modificación:
21/05/2025
Descripción
Langroid es un framework de Python para crear aplicaciones basadas en modelos de lenguaje grandes (LLM). Antes de la versión 0.53.15, `LanceDocChatAgent` utilizaba la función eval() de Pandas mediante `compute_from_docs()`. Como resultado, un atacante podría hacer que el agente ejecute comandos maliciosos a través de `QueryPlan.dataframe_calc]`, comprometiendo así el sistema host. Langroid 0.53.15 depura la entrada a la función afectada de forma predeterminada para abordar los vectores de ataque más comunes y añadió varias advertencias sobre este comportamiento riesgoso en la documentación del proyecto.