CVE-2026-40190
Publiée le 2026-04-10 · Dernière modification le 2026-10-26
Les applications Node.js utilisant le SDK JavaScript/TypeScript de LangSmith (avant la version 0.5.18) sont vulnérables à une pollution de prototype via l'API `createAnonymizer()`. Un attaquant distant non authentifié, capable de contrôler les clés des données traitées par cette fonction, peut modifier le prototype de l'objet de base (Object), altérant potentiellement le comportement de tous les objets du processus en cours d'exécution. Bien que cela puisse être réalisé via le réseau, l'exécution est difficile car elle nécessite que l'attaquant parvienne à injecter des clés malveillantes spécifiques dans le flux de données.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
LangSmith Client SDKs provide SDK's for interacting with the LangSmith platform. Prior to 0.5.18, the LangSmith JavaScript/TypeScript SDK (langsmith) contains an incomplete prototype pollution fix in its internally vendored lodash set() utility. The baseAssignValue() function only guards against the __proto__ key, but fails to prevent traversal via constructor.prototype. This allows an attacker who controls keys in data processed by the createAnonymizer() API to pollute Object.prototype, affecting all objects in the Node.js process. This vulnerability is fixed in 0.5.18.