LangChain является основой для создания приложений на базе LLM. До 1.1.14 класс RecursiveUrlLoader в @langchain/community - это веб-сканер,…

LangChain является основой для создания приложений на базе LLM. До 1.1.14 класс RecursiveUrlLoader в @langchain/community - это веб-сканер, который рекурсивно следует ссылкам с исходного URL. Его параметр предотвращать Внешняя (включаемый по умолчанию) предназначен для ограничения сканирования на том же сайте, что и базовый URL. Реализация использовала String.startsWith() для сравнения URL-адресов, которые не выполняют семантической валидации URL. ПоглоТатель, который управляет контентом на сканированной странице, может включать ссылки на домены, которые разделяют струнный префикс с целью, в результате чего сканщик переходит по ссылкам на контролируемую атакующим или внутреннюю инфраструктуру. Кроме того, сканер не выполнил проверки по частным или зарезервированным IP-адресам. Сканированная страница может включать ссылки, нацеленные на службы облачных метаданных, адреса localhost или RFC 1918, и сканер будет получать их без ограничений. Эта уязвимость зафиксирована в подразделе 1.1.14.