मैं पढ़ता रहा।

Vulnerable Code

तीन internal functions इसके केंद्र में थीं:

• _load_template() — template_path, suffix_path, और prefix_path द्वारा संदर्भित files को पढ़ता है
• _load_examples() — examples key द्वारा संदर्भित files को पढ़ता है जब यह एक string होती है
• _load_few_shot_prompt() — example_prompt_path द्वारा संदर्भित files को पढ़ता है

File-extension checks मौजूद थे। Templates के लिए .txt। Examples के लिए .json, .yaml, .yml। लेकिन उन paths को absolute (/etc/passwd) या traversal-based (../../../../home/user/.ssh/) होने से रोकने वाला कुछ भी नहीं था। Extension filter ने सुरक्षा का झूठा एहसास दिया — इसका मतलब सिर्फ यह था कि attacker को सही extension चुननी थी, न कि attack अवरुद्ध था।

ये functions दो public-facing APIs के माध्यम से पहुंच योग्य हैं: load_prompt() और load_prompt_from_config()।

Proof of Concept

सबसे सरल संस्करण इस तरह दिखता था:

बस इतना ही। Absolute path पास करें, file contents को PromptTemplate में लिपटा हुआ वापस पाएं। कोई authentication नहीं। कोई विशेष privileges नहीं। यदि आप config dict को प्रभावित कर सकते हैं, तो आप files पढ़ सकते हैं।

Directory traversal उतनी ही सफाई से काम करती थी:

JSON/YAML variant उन files के प्रकारों के कारण अधिक खतरनाक था जिन तक यह पहुंच सकता था:

.docker/config.json में आपके Docker Hub credentials होते हैं। ~/.azure/accessTokens.json में आपके Azure tokens होते हैं। Kubernetes manifests, CI/CD configs, internal application settings — सही extension वाली कोई भी चीज़ filesystem पर कहीं भी fair game थी।

Real-World Attack Surface

CVSS score 7.5 High आया, जिसका vector AV:N/AC:L/PR:N/UI:N था — network-accessible, low complexity, कोई privileges नहीं, कोई user interaction आवश्यक नहीं।

Score 9+ से नीचे सीमित है क्योंकि file-extension check कुछ हद तक सीमित करता है कि कौन सी files पढ़ी जा सकती हैं। लेकिन 7.5 फिर भी कुछ deployment patterns में real-world impact को कम आंकता है।

सोचिए यह production में कहाँ पहुंचता है:

• Low-code AI builders जो users को UI के माध्यम से prompts configure करने देते हैं — यदि backend user-controlled configs को सीधे load_prompt_from_config() में पास करता है, तो हर user एक संभावित attacker है।
• API wrappers जो prompt loading endpoints को expose करते हैं, यह मानते हुए कि library sanitization संभालती है।
• Cloud-deployed apps जहाँ environment secrets files के रूप में mounted होते हैं (Kubernetes, AWS ECS, और GCP पर एक बहुत सामान्य pattern)।

उन environments में, "file extension द्वारा सीमित" limitation बहुत कम मायने रखती है। एक attacker बस उन files को target कर सकता है जिनके बारे में वह जानता है कि सही extension के साथ मौजूद हैं। एक सामान्य cloud instance पर: requirements.txt, config.yaml, .env.yaml, .json extensions वाली mounted secret files — सूची लंबी है।

यह पहली जगह क्यों मौजूद था

प्रभावित functions को advisory में "undocumented legacy APIs" के रूप में वर्णित किया गया है। वे वर्तमान langchain_core.load serialization system (dumpd/dumps/load/loads) से पहले के हैं, जो allowlist-based model का उपयोग करता है और filesystem reads नहीं करता।

नए APIs मौजूद हैं। वे बेहतर हैं। लेकिन पुराना code कभी साफ नहीं किया गया — यह बस वहीं पड़ा रहा, पहुंच योग्य, बिना किसी validation के, इंतज़ार करता हुआ।

यह एक pattern है जिस पर ध्यान देने योग्य है। तेज़ी से बढ़ते open-source projects में, विशेष रूप से जो LangChain जितनी तेज़ी से बढ़े, technical debt कोनों में जमा होती है। Legacy code जो "वास्तव में users के लिए कभी intended नहीं था" को primary API surface के समान scrutiny नहीं मिलती। लेकिन यह अभी भी callable है। यह अभी भी package में है। और यदि यह disk से files पढ़ता है, तो यह एक संभावित vulnerability है।

The Fix

Patch langchain-core 1.2.22 में आया। Fix path validation जोड़ता है जो किसी भी file को खोलने से पहले absolute paths और .. traversal sequences दोनों को अस्वीकार करता है। एक escape hatch — allow_dangerous_paths=True — उन applications के लिए उपलब्ध है जिन्हें वास्तव में trusted paths से पढ़ने की आवश्यकता है, इस स्पष्ट स्वीकृति के साथ कि caller risk में opt-in कर रहा है।

Legacy APIs को भी इस release के साथ औपचारिक रूप से deprecated कर दिया गया है। उन्हें 2.0.0 में पूरी तरह से हटा दिया जाएगा। यदि आप कहीं भी load_prompt() या load_prompt_from_config() का उपयोग कर रहे हैं, तो breaking change की प्रतीक्षा करने के बजाय अभी langchain_core.load equivalents पर migrate करें।

तुरंत अपडेट करें:

सत्यापित करें कि आप 1.2.22 या नए पर हैं:

अपने Codebase में क्या जाँचें

यदि आप LangChain पर निर्माण कर रहे हैं, तो एक त्वरित audit चलाने लायक है:

1. अपने codebase में load_prompt और load_prompt_from_config खोजें। यदि वे दिखाई देते हैं, तो जाँचें कि उन्हें क्या पास किया जा रहा है।
2. पूछें कि क्या इन functions में बहने वाले कोई config dicts user-influenced values रखते हैं। यदि उत्तर हाँ है, तो आप update करने से पहले संभावित रूप से vulnerable थे।
3. अपने deployment की file layout की समीक्षा करें। समझें कि आपके instances पर .txt, .json, या .yaml extensions वाली कौन सी files मौजूद हैं और उनमें क्या है।

समापन विचार

AI infrastructure में Security bugs अधिक मायने रखने वाले हैं, कम नहीं, क्योंकि ये systems अधिक संवेदनशील workloads संभालते हैं। LangChain की टीम ने अच्छी प्रतिक्रिया दी — fix साफ है, deprecation path स्पष्ट है, और advisory documentation संपूर्ण है।

लेकिन यह एक अच्छा अनुस्मारक है कि AI application का attack surface सिर्फ model नहीं है। यह stack की हर library है, हर legacy function जो कभी साफ नहीं हुआ, हर जगह जहाँ "user शायद यहाँ untrusted input पास नहीं करेगा" एक assumption निकला, गारंटी नहीं।

Code पढ़ें। विशेष रूप से पुराने हिस्से।

CVE-2026-34070 इस vulnerability को assigned किया गया था। पूर्ण advisory LangChain GitHub Security Advisory पर उपलब्ध है।