Skip to content
OpenAdvisories
Medium WID-SEC-2026-1275 2 CVEs

LangChain (openai, text-splitters): Mehrere Schwachstellen ermöglichen Offenlegung von Informationen und SSRF-Umgehung

Published Apr 26, 2026 · Updated Jun 28, 2026 · Revision 2 · de-DE

Vendor: IBM Product: Business Automation Workflow Platform: Windows

Summary

Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in LangChain ausnutzen, um SSRF-Schutzmaßnahmen zu umgehen und Informationen offenzulegen.

Product

LangChain ist ein Open-Source-Framework, das die Entwicklung von Anwendungen mit großen Sprachmodellen (LLMs) erleichtert

Vulnerabilities 2

  • Medium 6.5
    CVE-2026-41481

    LangChain: HTMLHeaderTextSplitter.split_text_from_url SSRF Redirect Bypass

    LangChain is a framework for building agents and LLM-powered applications. Prior to langchain-text-splitters 1.1.2, HTMLHeaderTextSplitter.split_text_from_url() validated the initial URL using validate_safe_url() but then performed the fetch with requests.get…

    langchain-ai langchain-text-splitters open-webui langchain-text-splitters Wolfi PyPI
  • Low 3.1
    CVE-2026-41488

    angchain-openai: Image token counting SSRF protection can be bypassed via DNS rebinding

    LangChain is a framework for building agents and LLM-powered applications. Prior to 1.1.14, langchain-openai's _url_to_size() helper (used by get_num_tokens_from_messages for image token counting) validated URLs for SSRF protection and then fetched them in a …

    langchain-ai langchain-openai langchain-openai PyPI

Revision history

  1. #2

    Neue Updates von IBM aufgenommen

  2. #1

    Initiale Fassung

References