资讯

共 135 条更新于 2026-11-10 07:45RSS

CVE

10 月 21 日周三

安全DEV.to

Langchain-Chatchat 的 /tools/call 无需鉴权，可直接执行 shell 命令（CVSS 9.8）

CVE-2026-75128：0.3.1.3 及之前版本的 /tools/call 不需要认证即可按名字调用任意已注册工具，而 shell 工具默认常驻，等同于远程命令执行，攻击路径完全绕开模型。