langchain_core-1.5.2-py3-none-any.whl: 1 vulnerabilities (highest severity is: 7.4)

Aperta Adatta ai principianti
  • Qualcosa non va?
#520 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
1/5
Tempo stimato
Meno di un'ora
Idoneità per principianti
65/100
Tipo di issue
Bug
Chiarezza
Specificata chiaramente
Stato di attività
Attiva
Stack tecnologico
python
Ambito
security

Direzione di ricerca

Inizia da examples/langchain/bedrock-financial-assistant/pyproject.toml e individua la versione di langchain-core che introduce la dipendenza vulnerabile certifi tramite langsmith e httpx. Aggiorna langchain-core alla versione 1.5.3, come suggerito, quindi verifica che la versione risolta di certifi sia 2026.10.19 o successiva e che la vulnerabilità sia stata corretta.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Mend: dependency security vulnerability untriaged
Vulnerable Library - langchain_core-1.5.2-py3-none-any.whl

Sample Path to Dependency File: /examples/langchain/bedrock-financial-assistant/pyproject.toml

Path to vulnerable library: /examples/langchain/bedrock-financial-assistant/.venv/lib/python3.12/site-packages/certifi-2026.1.4.dist-info

Found in HEAD commit: 85a64cace68e869559113ce87327c43bb32dd24a

Vulnerabilities

Vulnerability Severity CVSS Dependency Type Fixed in (langchain_core version) Remediation Possible**
WS-2026-0133 High 7.4 certifi-2026.1.4-py3-none-any.whl Transitive 1.5.3 ✅

**In some cases, Remediation PR cannot be created automatically for a vulnerability despite the availability of remediation

Details

WS-2026-0133
Vulnerable Library - certifi-2026.1.4-py3-none-any.whl

Python package for providing Mozilla's CA Bundle.

Library home page: https://files.pythonhosted.org/packages/e6/ad/3cc14f097111b4de0040c83a525973216457bbeeb63739ef1ed275c1c021/certifi-2026.1.4-py3-none-any.whl

Sample Path to Dependency File: /examples/langchain/bedrock-financial-assistant/pyproject.toml

Path to vulnerable library: /examples/langchain/bedrock-financial-assistant/.venv/lib/python3.12/site-packages/certifi-2026.1.4.dist-info

Dependency Hierarchy:

  • langchain_core-1.5.2-py3-none-any.whl (Root Library)
    • langsmith-0.8.18-py3-none-any.whl
      • httpx-0.28.1-py3-none-any.whl
        • ❌ certifi-2026.1.4-py3-none-any.whl (Vulnerable Library)

Found in HEAD commit: 85a64cace68e869559113ce87327c43bb32dd24a

Found in base branch: main

Vulnerability Details

certifi 2019.03.09 through 2026.07.22 ships the "emSign ECC Root CA - G3" root certificate in its CA bundle (certifi/cacert.pem). Intermediates under this root were revoked for key compromise (cACompromise), so certificates issued with the compromised CA keys are trusted by applications that use certifi, enabling man-in-the-middle attacks. Fixed in 2026.10.18, which removed the root; 2026.10.19 restored the unaffected emSign roots and keeps G3 removed.

Publish Date: 2026-10-20

URL: WS-2026-0133

CVSS 3 Score Details (7.4)

Base Score Metrics:

  • Exploitability Metrics:
    • Attack Vector: Network
    • Attack Complexity: High
    • Privileges Required: None
    • User Interaction: None
    • Scope: Unchanged
  • Impact Metrics:
    • Confidentiality Impact: High
    • Integrity Impact: High
    • Availability Impact: None

For more information on CVSS3 Scores, click here.

Suggested Fix

Type: Upgrade version

Release Date: 2026-10-20

Fix Resolution (certifi): 2026.10.19

Direct dependency fix Resolution (langchain-core): 1.5.3

⛑️ Automatic Remediation will be attempted for this issue.

:rescue_worker_helmet:Automatic Remediation will be attempted for this issue.

Lingua principale
JavaScript
Stelle
44
Fork
42
Merge medio
23h 28m
PR unite (30g)
18

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di opensearch-project/observability-stack

Tutte le issue di opensearch-project/observability-stack

Issue simili

Altre issue su JavaScript

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.