CVE-2024-8309
Inyección SQL en langchain-ai/langchain
- Publicado
- 29 oct 2024
- Actualizado
- 15 oct 2025
- Asignación de CNA
- @huntr_ai
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HModerado · próximos 30 días
- Percentil
- 96,4 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Una vulnerabilidad en la clase GraphCypherQAChain de la versión 0.2.5 de langchain-ai/langchain permite la inyección de SQL a través de la inyección de mensajes. Esta vulnerabilidad puede provocar manipulación de datos no autorizada, exfiltración de datos, denegación de servicio (DoS) mediante la eliminación de todos los datos, infracciones en entornos de seguridad de múltiples tenants y problemas de integridad de los datos. Los atacantes pueden crear, actualizar o eliminar nodos y relaciones sin la debida autorización, extraer datos confidenciales, interrumpir servicios, acceder a datos de diferentes tenants y comprometer la integridad de la base de datos.
Fuentes
1Prueba de concepto que demuestra inyección de prompt en GraphCypherQAChain de Langchain que lleva a inyección SQL en bases de datos Neo4j. Incluye configuración basada en Docker con backend FastAPI y frontend Streamlit para pruebas educativas.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.