🇰🇷 한글 설명
LangChain 1.1.1 미만 버전의 @langchain/redis 패키지에서 RediSearch TAG 및 TEXT 필터에 공격자가 제어하는 값이 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 이를 통해 공격자는 RediSearch 구문을 주입하여 생성된 검색 쿼리를 변조하거나 확장할 수 있으며, 결과적으로 권한이 없는 문서에 접근할 수 있습니다.
💡 쉬운 설명
검색창에 특수 문자를 입력하여 원래 보여주면 안 되는 다른 사람의 정보까지 몰래 찾아낼 수 있는 보안 약점입니다. 검색 필터가 입력값을 제대로 검사하지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
LangChain is a framework for building LLM-powered applications. Prior to 1.1.1, @langchain/redis does not escape attacker-controlled values in structured RediSearch TAG filters and structured RediSearch TEXT filters, allowing injected RediSearch syntax to alter or broaden the generated search query. When an application uses an attacker-influenceable filter as a tenant or document-access boundary, the modified query can expose indexed documents outside the attacker's intended scope. This issue is fixed in version 1.1.1.
📍 영향받는 시스템
@langchain/redis version < 1.1.1
⚔️ 공격 벡터
RediSearch 필터에 특수 구문을 주입하여 검색 범위를 확장하는 인젝션 공격
🛡️ 대응 방법
@langchain/redis 패키지를 1.1.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 @langchain/redis의 버전이 1.1.1 미만인지 확인하십시오.
npm list @langchain/redis