Se ha identificado una vulnerabilidad de Server-Side Request Forgery (SSRF) en el paquete langchain/community, afectando a versiones hasta la 1.1.13.

La falla, registrada como CVE-2026-26019, tiene una calificación de severidad moderada, con una puntuación CVSS 3.1, debido a su potencial para exponer metadatos sensibles en la nube e infraestructura interna.

La vulnerabilidad se origina en la clase RecursiveUrlLoader, que realiza rastreo web recursivo. Por defecto, restringe el rastreo al mismo dominio usando la opción preventOutside.

Sin embargo, la implementación original validaba las URLs usando el método String.startsWith() de JavaScript, una comprobación no semántica que permitía a subdominios manipulados (ej. https://example.com.attacker.com) eludir la restricción.

Además, el rastreador no bloqueaba el acceso a direcciones IP privadas o reservadas, lo que permitía a los atacantes dirigir solicitudes a puntos finales de metadatos en la nube (169.254.169.254), localhost o redes internas (10.x, 172.16.x, 192.168.x).

GHSA-gf3v-fwqg-4vh7 se publicó en GitHub Advisory y se añadió a la National Vulnerability Database (NVD) la semana pasada.

Esta falla permitía la compromisión de credenciales IAM, tokens o datos de servicios internos en entornos alojados en la nube donde LangChain se ejecuta con acceso de red privilegiado.

Un atacante que inserte enlaces maliciosos en contenido generado por usuarios o rastreado públicamente podría explotar esta debilidad para:

• Recuperar metadatos en la nube y credenciales de AWS, GCP o Azure.
• Sondear o interactuar con APIs y servicios internos accesibles solo dentro de la red privada.
• Provocar exfiltración de datos mediante cadenas de redirección.

La explotación requiere privilegios mínimos, pero depende de la interacción del usuario, como que el rastreador obtenga una página manipulada.

LangChain ha solucionado esta falla en la versión 1.1.14 reemplazando la comprobación de prefijo flexible por una validación estricta de origen mediante la API URL e introduciendo nuevos filtros SSRF en @langchain/core/utils/ssrf.

La actualización ahora bloquea solicitudes a esquemas privados, de loopback, metadatos en la nube y no HTTP(S). Si no puedes actualizar, evita ejecutar RecursiveUrlLoader en contenido no confiable.

Aísla el componente en entornos que no puedan alcanzar redes internas o servicios de metadatos.