LangGraph : accès inter-utilisateurs au Store via l’authentification personnalisée JavaScript

Veille sécuritéFrontend

P3Élevée

Dans certaines configurations d’authentification personnalisée JavaScript ou TypeScript, les changements d’espace de noms renvoyés par le gestionnaire d’autorisation n’étaient pas appliqués aux opérations du Store. Un utilisateur authentifié pouvait alors accéder aux données d’autres utilisateurs ; mettre à niveau langgraph-api vers 0.15.0 ou configurer les gestionnaires pour rejeter les espaces de noms non autorisés.

IdentifiantCVE-2026-118668

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctiflanggraph-api 0.15.0

Source : GHSA-4hm6-w6qq-w73v — LangGraph JavaScript custom authentication may permit cross-user Store access

Analyse technique

Le problème concerne les déploiements utilisant l’authentification personnalisée JavaScript/TypeScript dont le gestionnaire restreint l’accès en réécrivant l’espace de noms demandé. Les gestionnaires Python et ceux qui rejettent les demandes non autorisées ne sont pas concernés.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-28 à 21:09:42Z, soit 23:09:42+02:00, dans la période retenue.

ImpactUn utilisateur authentifié peut lire, modifier, rechercher ou supprimer des données Store appartenant à un autre utilisateur, sous les conditions décrites.

Versions affectéeslanggraph-api >= 0.1.2 et < 0.15.0

Version corrigéelanggraph-api 0.15.0

ContournementFaire rejeter par les gestionnaires d’autorisation JavaScript/TypeScript les demandes visant des espaces de noms non autorisés, pour chaque action Store exposée.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.6

Publication2026-10-28T23:09:42+02:00

Mise à jour2026-10-28T23:09:43+02:00

Action recommandée

Mettre à niveau langgraph-api vers 0.15.0 ou ultérieur ; à défaut, faire rejeter explicitement les espaces de noms non autorisés dans tous les gestionnaires Store concernés.

Sources

Priorisation DFS : P3 · 2 source(s).