LangGraph SDK v3 流式路径未编码可致请求重定向

GitHub 安全公告 GHSA-3fx2-cqw9-xr3c 披露，LangGraph Python SDK v3 流式客户端在四个同步与异步调用点将调用方提供的 thread_id 和 assistant_id 未编码直接拼入请求路径，相对路径段可使已认证 GET 请求被重定向到同一服务器上的其他路径。受影响版本为 langgraph-sdk 0.4.0 至 0.4.5。 公告称，只有应用将攻击者可控文本作为流式 thread_id 或 assistant_id 传入时才受影响；受影响请求为 GET 操作，不提供写入原语；LangGraph Platform 不受此问题影响。修复方式为升级到 0.4.6 或更高版本。

AI 根据报道生成 · 13 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。