Vulnerabilidad en LangChain (CVE-2026-26019)

LangChain es un framework para construir aplicaciones impulsadas por LLM. Antes de la versión 1.1.14, la clase RecursiveUrlLoader en @langchain/community es un rastreador web que sigue enlaces recursivamente desde una URL inicial. Su opción preventOutside (habilitada por defecto) está destinada a restringir el rastreo al mismo sitio que la URL base. La implementación utilizaba String.startsWith() para comparar URLs, lo que no realiza una validación semántica de URL. Un atacante que controla contenido en una página rastreada podría incluir enlaces a dominios que comparten un prefijo de cadena con el objetivo, haciendo que el rastreador siga enlaces a infraestructura controlada por el atacante o interna. Además, el rastreador no realizaba ninguna validación contra direcciones IP privadas o reservadas. Una página rastreada podría incluir enlaces dirigidos a servicios de metadatos en la nube, localhost o direcciones RFC 1918, y el rastreador los obtendría sin restricción. Esta vulnerabilidad está corregida en la versión 1.1.14.